CyberSar

Взлом VMmanager: когда безопасность твоего сервера снова определяешь не ты НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН, РАСПРОСТРАНЕН И (ИЛИ) НАПРАВЛЕН ИНОСТРАННЫМ АГЕНТОМ ДАРБИНЯНОМ САРКИСОМ СИМОНОВИЧЕМ ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА ДАРБИНЯНА САРКИСА СИМОНОВИЧА 18+ НАСТОЯЩАЯ ЕБАЛА, КАК И САМ ЗАКОН ОБ ИНОАГЕНТАХ, ПРИЗНАНА РЕШЕНИЕМ ЕВРОПЕЙСКОГО СУДА ПО ПРАВАМ ЧЕЛОВЕКА ОТ 06.03.2025 (ZAKHAROV AND OTHERS v. RUSSIA) НАРУШАЮЩЕЙ СВОБОДУ СЛОВА И НЕСОВМЕСТИМОЙ В ПРИНЦИПЕ С КОНВЕНЦИЕЙ ПО ЗАЩИТЕ ПРАВ ЧЕЛОВЕКА ⚡️Взломали одного из крупнейших 🇷🇺 хостеров. Но скомпроментировано куда больше, так как проникновение произошло через софт VMmanager 6, который хостеры ставят на уровне своей инфраструктуры для управления нодами и клиентскими виртуальными машинами. FirstVDS - это не какой-то малыш. Он входит в число крупнейших VDS-провайдеров РФ с собственными ЦОДами в Подмосковье, а также в Амстере и Алматы. На его серверах живут интернет-магазины, корпоративные порталы, SaaS-сервисы, разработка - то есть счёт идёт не на энтузиастов, а на бизнес, у которого в базах лежат данные его собственных клиентов. 💥Главное в этой истории не то, что кого-то взломали, а то, что клиент, сделавший всё правильно, пострадал ровно так же, как тот, кто не делал ничего. Это не его провал и даже не провал хостера. Это провал единой точки, которую за них обоих выбрал вендор. По словам компании, дыра была открыта больше 10 часов. А сам софт VMmanager стоит не только у FirstVDS. Сам разработчик гордился тем, что под ним более 6000 серверов компаний и госучреждений. А значит речь про десятки тысяч VPS, за каждой из которых стоит компания со своей базой пользователей. 🔤Что утекло🔤 Утечка колоссальная: SSH-ключи, системные пароли, конфиги, хранилища KeePass, браузерные пароли и cookies, пароли бэкапов, история команд. А дальше - самое болезненное: ключи AWS, Google Cloud, Azure, OpenStack, токены GitHub, GitLab, npm, API-ключи OpenAI и Anthropic. Настоящий периметр утечки - это не FirstVDS. Это всё, до чего открывают дверь ключи, лежавшие на этих серверах. Сам провайдер говорит, что надо считать скомпрометированным всё. 😱 🚨Подтверждённых вторичных атак пока нет, но это вопрос календаря, а не принципа. ⏳ 🔤"Заграница поможет"🔤 Вряд ли. Многие сознательно выбирали сервер не в РФ, а в Нидерландах или Казахстане, именно ради того, чтобы данные не лежали в российской юрисдикции. Этот инцидент показывает, что локация не защищает, если панель управления одна и общая, то компрометация софта управления обходит выбор локации - система дотягивается до дисков независимо от того, в каком городе стоит стойка. Значение имеет не флажок на карте, а кто оператор инфраструктуры и чьим софтом он управляет. А значит в модель рисков надо закладывать и такое. Сам хостер под GDPR прямо не подпадает, так как у него присутствия в ЕС нет, стойки в ЦОДе сами по себе не покрываются GDPR, однако, если среди пострадавших была контора из ЕС, державшая на NL ноде базу с пользователями, то GDPR подлежит применению. 🔤Кто в ответе и что делать🔤 Если на сервере лежали ПДн ваших пользователей, то оператор вы, который несет бремя уведомления за утечку. По 🇷🇺закону об этом уведомить Роскомнадзор нужно в течение 24 часов с момента выявления, а в течение 72 часов дать результаты внутреннего расследования. Часы пошли не с публикации новости, а с письма хостера. Статус «мы сами жертва» от оборотных штрафов не спасает. ⚠️Если по вам задело срочно: 🔤инвентаризация всей инфраструктуры с админами 🔤смена всех ключей, перевод средства на другие кошельки 🔤фиксация инцидента внутренним актом сегодня и направить уведомление регулятору 🔤фиксация переписки как доказательства. Если вы не клиент FirstVDS, все равно сделайте запрос к своему хостеру, не стояла ли у него панель VMmanager 🔤При чем тут суверенный Рунет🔤 Снова вспоминаем про Чебурнет, потому что импортозамещение построило ровно ту конструкцию, от которой должно было уводить - концентрацию. Одна панель стоит у десятков хостеров и у госзаказчиков, одна ошибка в ней вскрывает их клиентов разом. #утечки #hack @cybersarik