В инфраструктуре FirstVDS обнаружены скрытые сервисы хакеров
Хостинг-провайдер FirstVDS завершил собственный технический разбор атаки, произошедшей 17 октября, не дожидаясь результатов расследования разработчика VMmanager. В ходе проверки специалисты обнаружили на части узлов виртуализации скрытые сервисы, замаскированные под служебные процессы. Они могли использоваться для повторного проникновения в инфраструктуру.
Как следует из официального сообщения FirstVDS от 21 октября, сейчас компания устраняет обнаруженные механизмы закрепления злоумышленников и проверяет каждый затронутый узел. Возвращать оборудование в эксплуатацию будут только после подтверждения, что следов постороннего присутствия не осталось.
Объем похищенного пока не известен
Первоначальная проверка не позволила выявить все случаи компрометации. На разных узлах вредоносное ПО находилось в различном состоянии и оставило неодинаковые следы. По мере обнаружения новых пострадавших виртуальных машин FirstVDS направлял их владельцам уведомления. Всего рассылка проводилась в три этапа.
Теперь дополнительная проверка завершена, и компания не ожидает выявления новых затронутых узлов. Однако количество пострадавших серверов и клиентов по-прежнему не раскрывается.
Не удалось установить и полный объем информации, которую злоумышленники успели скопировать. Поэтому FirstVDS рекомендует всем получателям уведомлений считать скомпрометированным все содержимое своих серверов. Особую опасность представляют похищенные пароли, SSH-ключи и токены доступа, которые могут использоваться для проникновения в другие информационные системы.
Ранее IT World писал об атаке на FirstVDS, проведенной через уязвимость в платформе управления виртуализацией VMmanager 6. Злоумышленники подключали диски клиентских виртуальных машин в режиме только для чтения и копировали файлы. При этом вредоносная программа не запускалась внутри гостевых операционных систем, а сами серверы продолжали работать.
Доступ к VMmanager могут закрыть окончательно
21 октября разработчик VMmanager уведомил FirstVDS об устранении уязвимости. Тем не менее провайдер решил сохранить изоляцию инфраструктуры до завершения восстановления и проверки всех затронутых узлов.
Изменится и порядок управления виртуальными серверами. Основные функции платформы переносятся в личный кабинет FirstVDS, а операции, которые пока недоступны пользователям, выполняются через обращения в техническую поддержку.
Компания допускает, что прямой доступ клиентов к панели виртуализации больше не вернется. В опубликованном 20 октября сообщении FirstVDS предупредил, что ограничения могут сохраниться надолго.
При этом отказываться от самой VMmanager провайдер не планирует. Как пишет SecPost со ссылкой на FirstVDS, переход на другую платформу занял бы несколько месяцев и создал дополнительные риски для клиентов.
«Часть изменений мы вносим уже сейчас, панель виртуализации больше не будет доступна клиентам напрямую, все функции управления серверами переезжают в наш личный кабинет», — отметили в FirstVDS в комментарии изданию.
Провайдер также пересматривает порядок работы со сторонним программным обеспечением. Оценку надежности VMmanager компания намерена провести после завершения расследования. Параллельно готовятся изменения внутренней сети, систем обслуживания серверов и политик безопасности.
Заказ и выдача новых виртуальных серверов возобновлены, хотя обработка заявок пока занимает больше времени, чем обычно. Из-за большого числа обращений техническая поддержка работает с повышенной нагрузкой.
По состоянию на 22 октября на официальной статус-панели FirstVDS сохраняется отметка «Работает с ограничениями». Несмотря на сообщение разработчика об устранении уязвимости, восстановление затронутой инфраструктуры еще не завершено.
