Атака на платформу управления виртуальными серверами поставила под угрозу пароли, ключи доступа, документы и криптокошельки клиентов десятков хостинг-провайдеров. Злоумышленники использовали две уязвимости в VMmanager 6 Hosting, а ISPsystem обнаружила ещё и неизвестную ранее уязвимость нулевого дня. Разработчик также предположил, что при атаке применялись инструменты на базе искусственного интеллекта. При этом компания пока не может подтвердить, сколько данных злоумышленники действительно успели похитить. Новые подробности инцидента раскрыты в отчёте ISPsystem, который изучил «Первый технический».
Почему взлом одной программы затронул разные компании
Когда компания арендует виртуальный сервер, она обычно не знает, какое программное обеспечение стоит за ним. Для клиента это просто удалённая машина. Но если злоумышленник получает доступ к системе, которая управляет такими серверами у хостинг-провайдера, он может попытаться добраться до информации сразу множества пользователей.
На такой сценарий указали в ISPsystem. По данным компании, атака затронула инфраструктуру нескольких десятков хостинг-провайдеров. Под угрозой оказались пароли, SSH-ключи, токены доступа к облачным сервисам, конфигурационные файлы, история команд, криптокошельки и пользовательские документы.
Первая уязвимость была известна до атаки
Первые следы проникновения в некоторых инфраструктурах зафиксировали 12 октября. Официальное обращение в техническую поддержку поступило 14 октября в 00:40 по московскому времени.
На начальном этапе разработчик рассматривал уязвимость в обработке ISO-образов. Об этой ошибке стало известно 9 октября в рамках программы Bug Bounty. Проблема предполагала наличие первоначального пользовательского доступа, который потенциально можно было получить, арендовав виртуальную машину у провайдера. Для устранения требовались архитектурные изменения, поэтому выпуск новой версии первоначально планировали на 15 октября.
После обнаружения атаки компания не стала ждать запланированного релиза. Вечером 14 октября выпустили экстренные исправления и рекомендовали клиентам дополнительные меры защиты, в том числе ограничить загрузку пользовательских ISO-образов.
Почему первого исправления оказалось недостаточно
17 октября началась новая волна атак. К вечеру ISPsystem получила около 20 обращений от клиентов. Проверка показала, что первое обновление закрыло обнаруженную ранее уязвимость, но злоумышленники нашли другой способ проникнуть в систему.
19 октября разработчик выявил ещё одну уязвимость, о которой до этого не было известно. Она получила название HTTP Request Smuggling — «контрабанда HTTP-запросов». Этот метод использует ситуацию, когда разные компоненты программы по-разному определяют, где заканчивается один запрос и начинается следующий.
В VMmanager проблема возникла при обработке запросов на установление WebSocket-соединения через nginx — компонент, который принимает и направляет запросы. Из-за ошибки nginx и внутренний сервис могли по-разному трактовать переданные данные. В результате злоумышленник мог сформировать запрос так, чтобы система приняла его за внутреннюю команду и выполнила с правами администратора.
Дополнительную уязвимость создавала схема взаимодействия компонентов платформы. Внутренние запросы VMmanager помечались специальным HTTP-заголовком, который должен был использоваться только внутри системы. Однако из-за ошибки при обработке запросов через nginx эта защита не срабатывала должным образом, и злоумышленник мог добиться выполнения внутреннего запроса.
Исправление выпустили вечером 19 октября. До установки обновления ISPsystem временно ограничила часть функций платформы, в том числе работу со скриптами и WebSocket-соединениями. На следующий день разработчик выпустил дополнительное обновление, которое восстановило часть функциональности. Исправления также получили другие продукты ISPsystem, использующие общие компоненты.
Какие данные могли попасть к злоумышленникам
На скомпрометированных узлах обнаружили вредоносное программное обеспечение, предназначенное для сбора данных. Среди потенциально затронутой информации ISPsystem перечислила SSH-ключи, пароли, токены доступа к облачным сервисам, конфигурационные файлы, историю вводимых команд, криптокошельки и пользовательские документы.
SSH-ключи используют для удалённого подключения к серверам, токены — для обращения к облачным сервисам без повторного ввода пароля. Конфигурационные файлы могут содержать параметры доступа. В некоторых случаях такая информация открывает путь к другим ресурсам компании. Поэтому последствия инцидента могут выходить за пределы одного хостинга.
При этом разработчик признал, что не может подтвердить объём и сам факт передачи данных атакующим. Некоторые провайдеры решили исходить из консервативного сценария и считать данные с затронутых систем скомпрометированными. Для части клиентов инцидент обернулся временной недоступностью сервисов.
Как разработчик проверял исправления
После выпуска первых патчей ISPsystem развернула специальные тестовые стенды, доступные извне и имитирующие инфраструктуру хостинг-провайдеров. Часть стендов оставили без исправлений, на другие установили актуальные обновления.
Атаки на незащищённые стенды подтвердили воспроизводимость уязвимостей. Системы с установленными исправлениями скомпрометировать не удалось. По данным компании, злоумышленник обнаружил тестовые установки и в течение нескольких дней пытался их взломать: на одну из них поступило более 10 тысяч запросов с различными вариантами атак.
Для проверки заражённых систем привлекли «Лабораторию Касперского». Специалисты помогали искать вредоносные файлы и другие признаки компрометации. Провайдерам также передали утилиту Kaspersky Virus Removal Tool. 23 октября выпустили обновления безопасности для основных продуктов экосистемы — VMmanager, DCImanager, BILLmanager и DNSmanager. После установки исправления от 19 октября новых случаев компрометации на обновлённых инфраструктурах не зафиксировали.
Что известно об использовании искусственного интеллекта
ISPsystem считает, что атакующие применяли специализированные инструменты на базе ИИ. Компания указывает на характерные особенности скриптов, комментарии в коде, большое количество запросов и параллельный подбор способов атаки под конфигурацию разных инфраструктур. По версии разработчика, поведение злоумышленника менялось в зависимости от настроек конкретного провайдера.
В ISPsystem подчеркнули, что продолжат совместную проверку с заказчиками и партнёрами и выпустят дополнительные рекомендации по очистке систем. На данный момент компания сообщает об устранении уязвимостей, использованных в атаке. Окончательные масштабы возможной утечки и наличие всех остаточных следов проникновения пока не установлены.