FirstVDS: утечка данных клиентов через уязвимость в VMmanager 6 — что произошло и что делать
Хостинг-провайдер FirstVDS подтвердил инцидент безопасности: через уязвимость в VMmanager 6 злоумышленники получили доступ к части инфраструктуры и скопировали данные с клиентских VPS. Пострадавшим отправлены уведомления с инструкциями.
17 октября 2024 года компания FirstVDS обнаружила инцидент безопасности: злоумышленники воспользовались уязвимостью в системе управления виртуализацией VMmanager 6 (разработка ISPsystem) и получили доступ к части узлов виртуализации. Атака затронула не всю инфраструктуру провайдера, а только определенные серверы. Всем клиентам, чьи виртуальные машины работали на скомпрометированных узлах, направлены уведомления в личные кабинеты и на электронную почту.
Согласно расследованию, вредоносная программа подключала диски клиентских VPS в режиме «только чтение» и копировала конфиденциальные данные: пароли, SSH-ключи, API-токены, доступы к облачным сервисам и платежным системам, конфигурационные файлы, историю команд, криптокошельки и пользовательские файлы. Собранная информация отправлялась на сервер атакующих. Важно: программа не вносила изменений на диски и не выполнялась внутри самих виртуальных серверов, поэтому на уровне ОС клиента следов взлома может не быть.
Сразу после обнаружения FirstVDS отключила внешний доступ к панели VMmanager, что предотвратило повторную атаку тем же вектором. Также был заблокирован IP-адрес сервера злоумышленников. На 19 октября вендор выпустил промежуточные патчи, однако уязвимость не устранена полностью — доступ к панели управления остается закрытым до выхода окончательных исправлений.
Клиентам, получившим уведомление, необходимо срочно: перевести средства с криптокошельков на новые (созданные на чистом устройстве); сменить все пароли, SSH-ключи, API-ключи и токены, хранившиеся на сервере (root, БД, панели, почта, CI/CD, платежки); отозвать скомпрометированные ключи в сторонних сервисах (GitHub, облачные консоли и др.); проверить логи входов на сервере и в связанных сервисах с 17 октября на предмет несанкционированного доступа. Если были доступы к персональным данным третьих лиц, требуется консультация с юристом об уведомлении Роскомнадзора. Постмортем инцидента обещан после завершения расследования.
