Хакеры через уязвимость VMmanager украли ключи и пароли с серверов клиентов FirstVDS

Хостинг-провайдер FirstVDS подтвердил, что 17 октября злоумышленники через уязвимость в системе управления виртуализацией VMmanager 6 получили доступ к части его инфраструктуры. На некоторых физических серверах они запустили программу, которая копировала файлы с дисков клиентских VPS: пароли, SSH- и API-ключи, токены, конфиги, историю команд и криптокошельки. Сколько клиентов пострадало, компания не называет. Владельцам серверов на затронутых узлах она советует считать скомпрометированным всё, что на них хранилось.

Как работала атака

По описанию FirstVDS, которое приводит Хабр, вредоносная программа подключала диски виртуальных машин в режиме только для чтения, забирала нужные файлы и отправляла их на сервер атакующих. Внутри самих VPS ничего не запускалось и не менялось, поэтому в журналах гостевой системы следов нет, и клиент не мог заметить кражу сам. В уведомлении одному из клиентов окно доступа к файлам указано с 12:27 до 22:34 по Москве, около десяти часов. SecurityLab отмечает, что взлом изоляции гипервизора KVM не подтверждён: атакующие действовали через систему управления, у которой и так есть доступ к дискам.

SecurityLab перечисляет, что искала программа: файлы .env, настройки Docker и Kubernetes, строки подключения к PostgreSQL, MySQL, MongoDB и Redis, хранилища KeePass и GPG, пароли резервного копирования Restic и Borg, учётные данные AWS, Google Cloud и Azure, токены GitHub, GitLab и npm, seed-фразы кошельков. Подтверждённых случаев, когда украденное уже использовали для следующих атак, провайдер пока не знает.

Что сделал провайдер

FirstVDS закрыл внешний доступ к VMmanager и заблокировал адрес сервера, куда уходили данные. VMmanager разрабатывает ISPsystem из «Группы Астра». Она выпустила промежуточное исправление, но окончательного пока нет, и до него доступ к панели останется закрытым. Номер CVE и способ проникновения не раскрыты. Сотрудник поддержки, по данным Runet, связал проблему с последним обновлением платформы. На статус-панели FirstVDS вечером 18 октября одна из панелей VMmanager всё ещё была недоступна, личный кабинет, DNS и резервное копирование работали. Пострадавшим отправлены уведомления в личный кабинет и на почту. Если письма нет, на узлах клиента следов атаки не нашли. Компания обещает опубликовать разбор после расследования.

У VMmanager 6 это не первый серьёзный случай. В сентябре 2021 года ISPsystem срочно выпускала обновление, закрывающее критическую уязвимость, которую успели использовать против нескольких хостеров.

Что делать, если ваш сервер в FirstVDS

Одной смены пароля от VPS мало. Сменить нужно все секреты, которые лежали на диске: пароли баз и панелей, SSH-ключи, токены облаков, репозиториев и платёжных систем. Старые ключи надо именно отозвать, иначе выданный ими доступ сохранится. Криптовалюту стоит перевести на новый кошелёк, созданный на другом, чистом устройстве. Затем проверить журналы входов в сервисы, ключи от которых были на сервере, начиная с 17 октября, а на самом VPS посмотреть ~/.ssh/authorized_keys, список пользователей, задания cron и службы systemd.

Если на сервере стоит свой VPN, его ключи тоже утекли. Для WireGuard это приватный ключ сервера и ключи клиентов, для панелей вроде 3x-ui это база с пользователями и ключи Reality. Сервер и клиентов придётся перевыпустить заново и раздать новые конфиги, иначе с украденным файлом подключиться сможет кто угодно. Как поднять сервер с нуля, есть в нашей инструкции по настройке VPS. Компаниям, хранившим на сервере персональные данные клиентов, провайдер напоминает о требованиях 152-ФЗ.