Арендуете сервер у FirstVDS? Через уязвимость в VMmanager у клиентов могли украсть пароли, ключи и криптокошельки
Хостинг-провайдер FirstVDS сообщил, что 17 октября злоумышленники проникли в часть его инфраструктуры через уязвимость в VMmanager 6. Это программа, через которую хостинг создаёт и обслуживает арендованные клиентами виртуальные серверы: на них работают сайты, интернет-магазины, базы данных и рабочие сервисы компаний. Разработчик системы — ISPsystem из «Группы Астра» — подтвердил инцидент.
FirstVDS оказался не единственным. О взломе сообщили также ForestsNet Cloud и MHost YaColo, а по данным ForestsNet, панели были заражены с 11 по 16 октября. Портал SecPost оценивает число серверов под управлением VMmanager более чем в 6000, среди пользователей — госучреждения и частные компании. Сколько клиентов пострадало на самом деле, ни разработчик, ни хостинги не раскрывают.
Читайте также: У Windows 19 октября истёк сертификат безопасной загрузки — компьютеры без обновлений остаются без новой защиты от вирусов-загрузчиков
По описанию FirstVDS, вредоносная программа подключала диски клиентских серверов в режиме только для чтения и копировала с них всё ценное. Сами серверы при этом не менялись, поэтому владелец мог ничего не заметить.
Что могли украсть
- Пароли и ключи доступа: SSH, API, ключи облачных сервисов и токены.
- Конфигурации и история команд, в том числе файлы .env и строки подключения к базам данных, по данным SecurityLab.
- Данные криптокошельков и хранилища паролей KeePass.
- Пользовательские файлы, лежавшие на сервере.
Узнать, затронут ли ваш сервер, можно по уведомлению: FirstVDS разослал письма и сообщения в личный кабинет со списком пострадавших серверов. Если уведомления нет, компания не нашла следов атаки на ваших узлах.
Доступ к панели VMmanager у FirstVDS пока закрыт: компания выпустила два исправления, последнее 19 октября, но полностью уязвимость не устранена. Подтверждений того, что украденными ключами уже воспользовались, на 20 октября нет.
Что сделать, если уведомление пришло
- Криптовалюту перевести на новые кошельки, созданные на чистом устройстве.
- Сменить все пароли и ключи, которые хранились на сервере: root и пользователей, базы данных, панели сайта, почту, облака, платёжные системы.
- Отозвать старые токены в облачных консолях, GitHub и GitLab, у платёжных провайдеров. Выпустить новые недостаточно.
- Проверить журналы входов с 17 октября. При подозрении на вход посмотреть список SSH-ключей, новых пользователей и задания по расписанию.
Если на сервере лежали данные клиентов — телефоны, адреса, заказы, — это уже утечка персональных данных. Закон обязывает сообщить о ней в Роскомнадзор за 24 часа, а результаты расследования прислать за 72 часа.
За неуведомление ИП и компании грозит штраф от 1 до 3 млн рублей. За саму утечку данных от 1 до 10 тысяч человек — от 3 до 5 млн, свыше 100 тысяч — до 15 млн. Поэтому FirstVDS прямо советует пострадавшим владельцам таких сайтов проконсультироваться с юристом.
Читайте также: Вышел второй сезон «Киберпанк: Бегущие по краю», и через два дня Cyberpunk 2077 получит по нему бесплатное обновление. На PS4 и Xbox One его не будет
