Несколько российских хостинг-провайдеров, в том числе FirstVDS, сообщили о взломе. Вход нашли через уязвимость в VMmanager 6 — панели, в которой хостер управляет виртуальными серверами клиентов. Панель делает ISPsystem, которая с 2022 года входит в «Группу Астра».

По данным ForestsNet Cloud, панели заражали с 11 по 16 октября, а основная фаза пришлась на ночь с 16 на 17-е. Вредонос подключал диски клиентских VPS в режиме только для чтения и копировал с них файлы: SSH-ключи, пароли, токены облачных сервисов, конфиги, историю команд. У атакующих при этом уже были списки серверов с IP-адресами, почты клиентов и пароли от VNC-консоли.

Кого это касается

Всех, у кого сайт, бот или CRM работает на арендованном VPS/VDS у хостера с VMmanager. Проверить просто: посмотрите, через какую панель вы перезагружаете сервер в личном кабинете, или прямо спросите поддержку. В «Группе Астра» инцидент подтвердили и выпустили исправления, но список пострадавших провайдеров не раскрывают.

Неприятная деталь: снаружи могло ничего не измениться. Файлы читали, а не правили, поэтому сайт открывается как обычно, и никаких странностей вы не заметите. Это не повод считать, что вас не задело.

Что сделать сейчас

  • Спросить хостера, был ли затронут ваш узел, и попросить ответ письменно
  • Перевыпустить SSH-ключи и сменить пароли root и других пользователей сервера
  • Отозвать и создать заново токены: облако, S3, платёжный шлюз, Telegram-бот, API рассылок
  • Сменить пароль к базе данных и секреты из .env, затем перезапустить приложение
  • Проверить, нет ли чужих ключей в authorized_keys и незнакомых задач в cron

Токен Telegram-бота перевыпускается в @BotFather командой /revoke. Старый перестаёт работать сразу, так что новый нужно сразу же прописать в конфиг, иначе бот замолчит.

Наш комментарий

Хостинг — такой же подрядчик со своей цепочкой поставок, и дыра в чужой панели быстро становится вашей проблемой. Помогают две простые привычки: не вводить секреты в командной строке, где они оседают в истории, и вести список, какой ключ где используется. В день инцидента такой список экономит часы. Исходная заметка вышла на 3DNews, ссылка есть и ниже.