Хакеры взломали российских хостеров через уязвимость в VMmanager: что могло утечь с серверов и что сделать клиентам

Хакеры получили доступ к файлам на серверах клиентов нескольких российских хостинг-провайдеров, по данным хостера FirstVDS и СМИ — через уязвимость в VMmanager 6, системе для управления виртуальными серверами. FirstVDS подтвердил взлом части своей инфраструктуры, пишет SecurityLab. Заражение панелей управления обнаружил облачный провайдер ForestsNet Cloud, пишет 3DNews со ссылкой на Forbes. Других пострадавших хостеров издание не называет. FirstVDS советует клиентам «считать скомпрометированными все секреты, которые находились на пострадавших машинах».

Как устроена атака

Панели заражали с 11 по 16 октября, а активная фаза пришлась на ночь с 16 на 17 октября, пишет 3DNews. У FirstVDS окно было другим: данные копировали 17 октября с 12:27 до 22:34 по Москве, сообщает SecurityLab. Программа злоумышленников подключала диски виртуальных серверов только для чтения и отправляла файлы на внешний сервер. Она работала на уровне хостера, поэтому взламывать каждый клиентский сервер не требовалось и следов внутри него обычно не остается. Злоумышленники также получили список серверов с IP-адресами, электронные адреса клиентов, административные пароли и пароли консоли VNC — удаленного доступа к экрану сервера, пишет 3DNews.

Что могло утечь

Под угрозой все, что лежало на дисках: SSH-ключи, системные пароли, файлы настроек с паролями от баз данных, история команд. SecurityLab перечисляет и другое: пароли и куки из браузеров, доступы к облачным сервисам, токены GitHub, GitLab и npm, ключи к API ИИ-сервисов. В списке и ключи криптокошельков с сид-фразами — фразами для восстановления доступа. Подтвержденных атак, в которых использовали эти данные, пока нет. Ответственность за взлом никто не взял.

Что говорят хостер и разработчик

VMmanager разрабатывает компания ISPsystem, которую в 2022 году купила «Группа Астра». В «Группе Астра» подтвердили, что знают об инциденте и продолжают проверку, а поддержка помогает хостерам, у которых стоит VMmanager. Список пострадавших хостеров и способ проникновения в компании не раскрывают, пока обновления не установят все. Исправления, по словам «Группы Астра», уже выпущены, пишет 3DNews 20 октября. Двумя днями раньше FirstVDS сообщал, что разработчик выпустил промежуточное исправление и полностью закрыть уязвимость пока не удалось. Хостер отключил внешний доступ к VMmanager и заблокировал адрес, на который уходили данные.

Что сделать клиентам

Проверьте уведомления в личном кабинете провайдера, а если не знаете, стоит ли у хостера VMmanager, спросите поддержку. Адреса почты клиентов утекли, поэтому письма «о смене пароля» сверяйте с личным кабинетом и не переходите по ссылкам из них. Не ограничивайтесь сменой пароля от сервера: замените SSH-ключи, пароли баз данных, токены облаков, репозиториев, платежных систем и API и отзовите старые ключи. Если на сервере были ключи криптокошельков, переведите средства на новые адреса, созданные на заведомо чистом устройстве. Само копирование следов на сервере не оставляет, но украденными паролями могли воспользоваться позже. Поэтому проверьте входы в облака, репозитории и на криптобиржи с незнакомых IP-адресов начиная с 11 октября, когда начали заражать панели. На сервере проверьте новые записи в authorized_keys — списке разрешенных SSH-ключей, новых пользователей и задания по расписанию (cron). Если на сервере хранились персональные данные ваших покупателей или пользователей, об утечке нужно сообщить в Роскомнадзор в течение 24 часов, напоминает FirstVDS со ссылкой на закон № 152-ФЗ.