Взлом FirstVDS: злоумышленники скопировали диски клиентов через уязвимость в VMmanager 6

Атака стала возможной из-за уязвимости в платформе VMmanager 6, разработанной российской компанией ISPsystem, которая входит в «Группу Астра». Этот инструмент предназначен для централизованного управления виртуальными машинами и позволяет администраторам работать сразу с несколькими кластерами физических серверов. Именно такая архитектура сделала систему управления критически уязвимой точкой: получив доступ к ней, атакующие смогли дотянуться до ресурсов множества клиентов.

Злоумышленники запустили на части физических серверов FirstVDS специальную вредоносную программу. Она подключала диски клиентских виртуальных машин в режиме только для чтения, извлекала необходимые файлы и отправляла собранную информацию на внешний сервер. Провайдер подтвердил, что данные были переданы за пределы его инфраструктуры.

Главная особенность этого взлома в том, что атакующим не требовалось взламывать каждый клиентский сервер по отдельности. Инструмент работал на уровне инфраструктуры хостинг-провайдера, не запускался внутри виртуальных машин и не менял содержимого их дисков. Поэтому арендованные серверы продолжали работать в обычном режиме, а их владельцы не могли заметить кражу по стандартным журналам операционной системы.

В персональных уведомлениях FirstVDS указал, что 17 октября файлы затронутых серверов могли быть доступны посторонним с 12:27 до 22:34 по московскому времени. Потенциальное окно доступа составило 10 часов 7 минут. Компания рекомендовала считать скомпрометированными все секреты, которые находились на этих машинах, даже если факт копирования конкретных файлов пока не установлен.

Список потенциально похищенных данных обширен. В него входят SSH-ключи, системные пароли, файлы конфигурации приложений, содержимое хранилищ KeePass и GPG, сохранённые браузерные пароли и cookies. Под угрозой также оказались файлы .env, настройки Docker, строки подключения к базам данных PostgreSQL, MySQL, MongoDB и Redis, история команд и пароли систем резервного копирования Restic и Borg.

Особую опасность представляет возможная компрометация криптовалютных активов. На виртуальных серверах могли храниться приватные ключи кошельков, ключи валидаторов и seed-фразы. FirstVDS рекомендует владельцам таких кошельков немедленно перевести средства на новые адреса, созданные на другом, заведомо безопасном устройстве.

Простая смена пароля от старого кошелька не устранит угрозу, если злоумышленники уже получили исходные секреты. Последствия могут выйти далеко за пределы самого хостинга. Среди потенциально раскрытых секретов провайдер назвал учётные данные облачных сервисов AWS, Google Cloud и Microsoft Azure, настройки Kubernetes и Terraform, а также токены GitHub, GitLab и npm.

В файлах могли находиться API-ключи OpenAI и Anthropic. Доступ к таким данным способен позволить атакующим проникнуть в другие облачные среды и репозитории исходного кода. Подтверждений подобных вторичных атак пока нет.

После обнаружения вторжения FirstVDS отключил внешний доступ к системе управления виртуализацией и заблокировал в своей сети IP-адрес сервера, на который отправлялись украденные файлы. Разработчик VMmanager выпустил промежуточное исправление, однако полностью закрыть уязвимость пока не удалось. До выхода окончательного патча провайдер намерен сохранять ограничения доступа.

Из-за этого авторизация оставалась недоступной в трёх панелях VMmanager, хотя личный кабинет, DNS-сервисы и автоматическое резервное копирование работали штатно. Точное количество пострадавших клиентов и виртуальных машин компания пока не назвала. Владельцам серверов, на которых обнаружили признаки атаки, отправили персональные уведомления.

Днём 18 октября FirstVDS сообщил о дополнительной рассылке владельцам серверов на узлах с признаками возможной компрометации. Расследование продолжается, и окончательный масштаб инцидента ещё может измениться. Клиентам, получившим предупреждение, рекомендуют не ограничиваться сменой пароля от самого VDS.

Необходимо заменить все закрытые ключи, пароли баз данных и токены облачных сервисов. Старые ключи следует отозвать, так как выпуск новых учётных данных сам по себе не лишает злоумышленников доступа через ранее выданные разрешения. Также советуют проверить журналы сторонних сервисов на предмет входов с неизвестных IP-адресов после 17 октября.

Провайдер предупредил и о юридических последствиях для компаний, размещавших на затронутых серверах персональные данные. Согласно закону № 152-ФЗ, при установлении факта неправомерного доступа к таким данным оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, а в течение 72 часов предоставить результаты внутреннего расследования. FirstVDS обещает опубликовать технический разбор после завершения расследования.