Хостинг-провайдер FirstVDS сообщил об инциденте безопасности, произошедшем 17 октября и затронувшем часть узлов виртуализации. По данным компании, злоумышленники использовали уязвимость в VMmanager 6 — платформе управления виртуальными машинами и физическими серверами, разработанной ISPsystem, входящей в группу «Астра». В результате атакующие могли скопировать данные с виртуальных серверов клиентов, включая пароли, ключи доступа, пользовательские файлы и сведения, связанные с криптокошельками.
Злоумышленники запустили на затронутых узлах программу для копирования данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения, копировала информацию и отправляла её на сервер атакующих. При этом программа не меняла содержимое дисков и не запускалась внутри самих виртуальных машин.
Какие данные могли попасть к злоумышленникам
По информации FirstVDS, под угрозой могли оказаться пароли, SSH- и API-ключи, токены доступа к облачным сервисам, конфигурационные файлы, история команд, пользовательские файлы и данные криптокошельков.
В уведомлениях клиентам компания рекомендовала исходить из того, что скопирована могла быть вся информация, хранившаяся на затронутом сервере. Пострадавшим пользователям направляли сообщения в личный кабинет и по электронной почте. Позже, 18 октября, провайдер провёл дополнительные рассылки.
FirstVDS сообщила, что закрыла внешний доступ к панели управления виртуализацией и заблокировала IP-адрес сервера злоумышленников. Компания также связалась с разработчиком VMmanager.
Уязвимость пока не закрыли полностью
ISPsystem выпустила промежуточные исправления, в том числе ночью 19 октября. Однако, по информации, опубликованной к 20 октября, устранить проблему полностью ещё не удалось. Разработчик не рекомендовал открывать внешний доступ к панели управления и готовил новые обновления.
В группе «Астра» добавили, что знают об инциденте у FirstVDS и взаимодействуют с провайдером. По заявлению компании, выпущенные исправления устраняют уязвимость и возможность закрепления злоумышленников в системе.
Утром 20 октября FirstVDS сообщила, что работа вендора над устранением уязвимости всё еще продолжается, но панель виртуализации останется недоступной для клиентов. Основные функции управления инфраструктурой компания переносит в личный кабинет.