Следы проникновения в панели управления появились с 11 по 16 октября, а основная атака пришлась на ночь 17 октября. Через критическую уязвимость злоумышленники получали доступ к базам VMmanager 6, а в отдельных случаях — к физическим узлам, на которых размещены виртуальные серверы клиентов.
О масштабе инцидента говорит состав рабочей группы, созданной пострадавшими провайдерами: в ней участвовали 37 представителей разных хостингов. Среди них были компании, управляющие инфраструктурой размером до 30 тысяч виртуальных машин.
Какие данные могли попасть к злоумышленникам
В базах панелей хранились IP-адреса серверов, почта пользователей, root-пароли, заданные при заказе или переустановке системы, а также пароли консоли VNC. На части площадок вредоносный сборщик искал секретные данные уже на дисках клиентских машин.
- SSH-ключи, системные пароли и доступы к базам данных;
- токены AWS, Google Cloud, Azure, OpenStack, GitHub и GitLab;
- конфигурационные файлы приложений, Docker и Kubernetes;
- сохранённые пароли браузеров, cookies и историю команд;
- файлы криптокошельков, сид-фразы и ключи бирж.
Эксперты, опрошенные РБК, назвали ситуацию крайне опасной: полученные ключи позволяют атакующим переходить от одного сервера к связанным облачным сервисам, репозиториям и резервным копиям.
Исправление выпустили 18 октября
ISPsystem 18 октября опубликовала обновления VMmanager с исправлениями безопасности. Провайдеры закрыли внешний доступ к панелям, удалили доступ злоумышленников, обновили систему и начали менять служебные пароли и ключи.
Владельцам серверов рекомендуют немедленно сменить root-пароли, SSH-ключи, API-токены и доступы к облакам, проверить список пользователей, файл authorized_keys, задания cron, процессы и службы. Если на машине хранились криптокошельки или сид-фразы, средства советуют перевести на новые адреса.
