🕵️🖥Компрометация российских хостинг-провайдеров через уязвимость в платформе управлен...
🕵️🖥Компрометация российских хостинг-провайдеров через уязвимость в платформе управления виртуализацией VMmanager 6 18 октября хостинг-провайдеры FirstVDS и ForestsNet Cloud (+пост) сообщили об атаке злоумышленников через критическую уязвимость в системе управления виртуализацией VMmanager 6, которую разрабатывает входящая в «Группу Астра» компания ISPsystem. В совместном расследовании инцидента в общем рабочем чате объединились 37 представителей различных хостингов, включая операторов с парком от 30 000 виртуальных машин. Согласно хронологии ForestsNet Cloud, с 11 по 16 октября атакующие заранее заражали панели VMmanager 6 через уязвимость (первые следы у провайдера датируются 12 октября, а вечером 16 октября на сервере панели отработал вредоносный сборщик с правами суперпользователя root). В ночь на 17 октября началась основная фаза атаки по хостингам, когда злоумышленники выгружали базы данных панелей со списками серверов, IP-адресами, почтой учётных записей, паролями VNC и заданными через панель паролями root, а у части провайдеров проникли и на физические узлы виртуализации. Предварительно известно, что в контуре FirstVDS атакующие запустили на части узлов троянец-стилер, который подключал диски клиентских виртуальных серверов в режиме только для чтения и копировал информацию на внешний сервер злоумышленников. Программа не запускалась внутри самих виртуальных машин и ничего не меняла на их дисках, поэтому на клиентских серверах следов атаки не осталось и они продолжали работать в обычном режиме. На затронутых узлах сборщик целенаправленно извлекал пароли, ключи SSH и файлы authorized_keys, хеши системных паролей, данные менеджеров паролей и ключи GnuPG, историю команд и клиентов СУБД, сохранённые в браузерах пароли и cookie-файлы, файлы .env и docker-compose.yml, конфигурации приложений, Vault, Kubernetes, Docker и Terraform, строки подключения к базам данных и Redis, пароли бэкапов Restic и Borg, учётные данные AWS, Google Cloud, Azure и OpenStack, токены GitHub, GitLab, npm и Slack, закрытые ключи и API-ключи ИИ-сервисов, а также файлы криптокошельков, мнемонические и seed-фразы, ключи валидаторов и API-ключи бирж.