FirstVDS. CLO — официальный канал
❗️Внимание! Инцидент безопасности
17 октября злоумышленники получили доступ к части нашей инфраструктуры через уязвимость в системе управления виртуализацией VMmanager 6.
Всем, чьи серверы были затронуты, мы уже отправили уведомление в личный кабинет и на почту со списком серверов и инструкцией. Если вы такого уведомления не получили, это значит что на ваших узлах следов атаки мы не нашли.
Расследование продолжается, если что-то обнаружим, сразу напишем владельцам серверов, которых это касается.
Что произошло:
Злоумышленники запустили на части серверов нашей инфраструктуры программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме только для чтения и копировала с них:
- пароли, ключи доступа (SSH, API, облачные сервисы) и токены;
- конфигурационные файлы и историю команд;
- криптокошельки;
- пользовательские файлы.
Собранные данные отправлялись на сервер злоумышленников.
Атака затронула не всю инфраструктуру, а только часть узлов виртуализации. Пострадали клиентские серверы, которые на них работали. Программа ничего не меняла на дисках виртуальных серверов и не запускалась внутри них. Поэтому на самом сервере следов атаки нет, и он работает как обычно. Если вы получили уведомление в личном кабинете, считайте, что данные с сервера были скопированы.
Что уже сделали:
Сразу после обнаружения атаки мы отключили внешний доступ к системе управления виртуализацией, через которую она была проведена. Именно это сейчас защищает инфраструктуру от повторной атаки тем же способом. Мы также заблокировали в нашей сети адрес сервера злоумышленников.
На текущий момент вендор выпустил промежуточный патч и работает над окончательным исправлением, мы на связи с ним. Пока уязвимость не будет полностью устранена, доступ к системе останется закрытым.
Что нужно сделать вам, если вы получили уведомление в личном кабинете:
Главный риск — в том, что злоумышленники воспользуются украденными паролями и ключами. Поэтому важно сменить их как можно скорее.…
Читать полностью →