Хостинг-провайдер FirstVDS сообщил о краже данных клиентов через VMmanager 6

Компания FirstVDS подтвердила инцидент безопасности: 17 октября атакующие использовали уязвимость в панели VMmanager 6, чтобы проникнуть в часть сетевой инфраструктуры. Уведомления уже направлены владельцам затронутых серверов в личный кабинет и на электронную почту. Злоумышленники запустили на ряде узлов виртуализации программу для кражи данных.

Она подключала диски клиентских виртуальных машин в режиме только для чтения и копировала пароли, SSH-ключи, API-токены, конфигурационные файлы, историю команд, криптокошельки и пользовательские файлы. Собранная информация отправлялась на сервер злоумышленников. Атака затронула не всю инфраструктуру, а только часть узлов, на которых работали пострадавшие клиентские серверы.

Программа не изменяла данные на дисках и не запускалась внутри виртуальных машин, поэтому на самих серверах следов атаки нет. Сразу после обнаружения инцидента FirstVDS отключила внешний доступ к VMmanager, через который проводилась атака. Это временно защищает инфраструктуру от повторного проникновения тем же способом.

Также в сети провайдера заблокирован адрес сервера злоумышленников. Вендор выпустил промежуточный патч для VMmanager 6 и работает над окончательным исправлением. Пока уязвимость не устранена полностью, доступ к системе управления останется закрытым.

Клиентам, получившим уведомление, рекомендуется прежде всего перевести средства с криптокошельков на новые, созданные на чистом устройстве. Затем необходимо сменить все пароли, SSH-ключи, API-ключи и токены, которые хранились на сервере: учётные записи root и пользователей, базы данных, панели управления сайтами, почту, облачные сервисы, CI/CD и платёжные системы. Современные менеджеры паролей уже умеют предупреждать о компрометации учётных данных Proton Pass обзавёлся папками и научился предупреждать об утечках паролей.

Важно не просто создать новые ключи, а отозвать старые в облачных консолях, GitHub/GitLab и у платёжных провайдеров. После этого стоит проверить журналы входов на сервере и в сервисах, ключи от которых на нём лежали: не было ли обращений с незнакомых адресов после 17 октября. Если злоумышленник успел войти до смены паролей, следует осмотреть файл ~/.ssh/authorized_keys, списки новых пользователей, задания cron и службы systemd на предмет подозрительных изменений.

Тем, у кого на сервере хранились персональные данные клиентов, лучше проконсультироваться с юристом об обязанности уведомить Роскомнадзор. FirstVDS планирует опубликовать постмортем после завершения расследования. Дополнительные уведомления были разосланы 17 октября в 15:25 по московскому времени владельцам серверов, на узлах которых найдены признаки возможной компрометации.