Хакеры получили доступ к серверам клиентов FirstVDS через уязвимость в VMmanager

Хостинг-провайдер FirstVDS сообщил о взломе части клиентских серверов 17 октября. Злоумышленники воспользовались уязвимостью в системе управления виртуализацией VMmanager и могли получить доступ к паролям, базам данных, криптокошелькам и другим конфиденциальным сведениям. По информации службы поддержки, проблема связана с последним обновлением программного обеспечения. Об этом стало известно Runet из уведомления, направленного одному из пострадавших клиентов, и разговора с технической поддержкой компании.

«Список не точный, исходите из того, что скомпрометировано все, что на нем находилось: любые файлы, пароли, ключи, токены, конфиги, базы данных и резервные копии», — говорится в уведомлении FirstVDS, оказавшемся в распоряжении редакции.

Согласно сообщению провайдера, 17 октября злоумышленники получили доступ к части клиентских серверов через уязвимость в программном обеспечении виртуализации. В частности, одному из клиентов сообщили, что файлы на его сервере могли быть прочитаны в период с 12:27 до 22:34 по московскому времени.

В компании предполагают, что хакеров в первую очередь интересовали учетные данные и ключи доступа. Среди потенциально скомпрометированной информации называются SSH-ключи, пароли, токены облачных платформ AWS, Google Cloud и Microsoft Azure, доступы к GitHub и GitLab, конфигурационные файлы приложений и баз данных, а также криптокошельки и seed-фразы.

Отдельно провайдер предупреждает о возможной компрометации API-ключей сервисов искусственного интеллекта OpenAI и Anthropic, сохраненных паролей и cookies браузеров, истории команд и ключей шифрования резервных копий.

Как выяснил Runet, причиной инцидента могло стать последнее обновление платформы VMmanager. В телефонной службе поддержки FirstVDS сообщили, что проблемы затронули инфраструктуру, на которой было установлено обновление. По словам сотрудника компании, если обновление применялось, вероятность компрометации обслуживаемых серверов была высокой.

В поддержке также отметили, что злоумышленники практически сразу начали эксплуатировать уязвимость и успели получить доступ к данным. При этом точное число пострадавших серверов и объем информации, оказавшейся в распоряжении хакеров, пока неизвестны.

После обнаружения атаки FirstVDS отключила внешний доступ к системе управления виртуализацией, через которую злоумышленники проникли в инфраструктуру.

«Вендор выпустил промежуточный патч. Полностью уязвимость пока не устранена, вендор работает над окончательным исправлением, мы на связи с ним. До его выхода доступ к системе останется отключенным», — сообщили в компании.

Платформа VMmanager разработана российской компанией ISPsystem и используется хостинг-провайдерами для создания виртуальных серверов и управления ими.

На фоне инцидента возникли проблемы и с технической поддержкой FirstVDS. В частности, в личном кабинете была выключена возможность создавать новые обращения и отвечать на уже существующие. В телефонной поддержке Runet объяснили ограничения большим количеством поступающих запросов.

При этом в уведомлении, направленном клиентам, провайдер указал, что продолжает принимать обращения через систему тикетов, хотя время их обработки может быть увеличено.

FirstVDS рекомендовала владельцам затронутых серверов считать все хранившиеся на них учетные данные скомпрометированными. Клиентам необходимо сменить пароли, перевыпустить SSH-ключи и токены доступа к облачным сервисам, проверить базы данных, резервные копии и журналы подозрительной активности. Владельцам криптокошельков рекомендовано перевести средства на новые адреса.

Кроме того, компания предупредила корпоративных клиентов о возможной необходимости уведомить Роскомнадзор об инциденте в течение 24 часов, если на затронутых серверах хранились персональные данные пользователей.

На момент подготовки материала окончательное исправление уязвимости, согласно уведомлению FirstVDS, еще не было выпущено. Сроки полного устранения проблемы не называются.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.