17 октября хостинг-провайдер FirstVDS сообщил об инциденте безопасности. Злоумышленники получили доступ к части инфраструктуры через уязвимость в системе управления виртуализацией VMmanager 6. Клиенты, чьи серверы попали под атаку, получили уведомление в личном кабинете и на почту. В нём есть список серверов и инструкция. Тем, кто уведомления не получил, провайдер сообщил об отсутствии следов атаки на их узлах. Число затронутых серверов и клиентов он не назвал. Расследование продолжается.
На части серверов инфраструктуры злоумышленники запустили программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения и копировала содержимое. Среди скопированного были пароли; ключи доступа к серверам, программным интерфейсам и облачным сервисам; токены; конфигурационные файлы и история команд; криптокошельки; пользовательские файлы. Собранные данные уходили на сервер злоумышленников. Программа не меняла диски виртуальных серверов и не запускалась внутри них. Копирование шло снаружи виртуальных машин. Из-за этого стандартные средства мониторинга внутри сервера могли не увидеть действий программы. Поэтому на самом сервере следов атаки нет, и он работает как обычно. Получателю уведомления нужно исходить из того, что данные с сервера скопировали.
В уведомлении, которое провайдер опубликовал в официальном канале FirstVDS.CLO, он уточнил: атака затронула не всю инфраструктуру, а только часть узлов виртуализации. Пострадали клиентские серверы, которые на них работали. Для бизнеса главный риск связан не с простоем, а с утечкой секретов. Украденные ключи и токены могут открывать доступ к облачным консолям, репозиториям кода и платёжным системам. Такой доступ сохраняется после закрытия уязвимости. Поэтому реакция на инцидент не заканчивается сменой пароля на одном сервере. Утечка ключей к репозиториям позволяет изменить код или получить доступ к сборочным процессам. Если на сервере лежали персональные данные клиентов, провайдер рекомендует обратиться к юристу и оценить обязанность уведомить Роскомнадзор. Для клиентов с персональными данными юридический риск становится отдельной частью реакции.
Сразу после обнаружения атаки FirstVDS отключил внешний доступ к системе управления виртуализацией. Именно этот шаг сейчас защищает инфраструктуру от повторной атаки тем же способом. Адрес сервера злоумышленников заблокировали в сети провайдера. Вендор выпустил промежуточное исправление и готовит окончательное. Пока вендор не устранил уязвимость полностью, доступ к системе останется закрытым. Днём 17 октября провайдер отправил дополнительные уведомления владельцам серверов, на узлах которых нашли признаки возможной компрометации. Клиентам с уведомлением он советует сначала перевести средства с криптокошельков на новые кошельки, созданные на чистом устройстве. Затем сменить все пароли, ключи удалённого доступа, ключи к программным интерфейсам и токены, которые хранились на сервере. Старые ключи нужно отозвать в облачных консолях, GitHub, GitLab и у платёжных провайдеров, а не просто создать новые. Проверка журналов входов поможет найти обращения с незнакомых адресов после 17 октября. При подозрении на вход нужно проверить списки разрешённых ключей, новых пользователей, задания планировщика и службы. Для облачных сервисов нужно проверить активные сеансы и подключённые приложения. Для почты и платёжных систем - правила пересылки и получателей платежей.
Инцидент показывает, насколько чувствителен слой управления виртуализацией. Одна уязвимость в нём открывает доступ к дискам множества клиентов, хотя сами виртуальные серверы остаются неизменными. Слой управления виртуализацией остаётся привлекательной целью, потому что даёт широкий охват при одной точке входа. Для провайдеров это довод в пользу изоляции управляющих систем и быстрого отключения внешних интерфейсов. Для клиентов это означает длительную ротацию учётных данных и проверку внешних сервисов. Закрытие внешнего доступа снижает риск повторной атаки, но не отменяет последствий уже скопированных данных. Сроки окончательного исправления и полного разбора пока не названы. Разбор инцидента провайдер обещает после завершения расследования.
