🚨 Апокалипсис VMmanager, день третий. История с дырявым гипервизором VMmanager 6 и взломом FirstVDS обрастает новыми подробностями. Если кто думал, что вендор за это время героически дропнул патч и всё починил - у меня плохие новости. В оф. канале FirstVDS выкатили примерно такой апдейт: Патча нормального нет, костыли от ISPsystem доверия не внушают, поэтому мы просто делаем полное закрытие доступа к панели управления виртуализацией для пользователей. Контора приняла единственно верное, суровое сисадминское решение... нет сервиса - нет уязвимости. Доступ к панели виртуализации для юзеров закрыт. Сейчас они переписывают API, чтобы базовые кнопки (ребут, реинсталл) дергать прямо из самописного личного кабинета. Моё почтение за радикальность 🎩 Лечить сифилис отсечением органа - метод жесткий, но надежный. А теперь самая мякотка для тех, кто сейчас грепает auth.log внутри своих виртуалок и радуется, что там чисто. Чуваки, внутри ваших ОС следов и не будет. Хацкеры не ломали ваши убунты и дебианы по SSH. Они пробили саму железку, где крутится гипервизор, после чего скриптом просто подмонтировали образы ваших дисков в ридонли. Злоумышленники тупо прошлись пылесосом по ФС: 🟢Стянули файлы конфигураций. 🟢Выгребли SSH-ключи (привет всем, кто хранит приватники без пароля). 🟢Забрали токены, bash_history (ох уж эти пароли от рута прямым текстом в консоли). 🟢И, конечно же, вынесли wallet.dat и прочие файлы криптокошельков, если они были. Посмотрите на скрин. Как только злоумышленники получают доступ или нащупывают дыру, в дело вступают сканеры. На скрине видно, как некий бот с IP 35.240.58.49 (гугловское облако, локация Брюссель) долбится во все возможные вариации файлов окружения: /cms/.env, /config/.env, /laravel/.env. Зачем им .env 🤔? Да потому что это святой грааль современного веба, ведь именно там ленивые разрабы хранят доступы к мастер-базам данных, ключи от хранилищ, токены интеграции с платежками и секретные хэши для кукисов. Один такой скачанный файлик - и хацкер уносит всю инфру. Google Cloud тут выступает тупо как удобный прокси\ВПН для ноды, с которой летит брутфорс. Удобно, дешево, и Гугл абузы обрабатывает годами. Поэтому: 🟢 Если ваша виртуалка жила на скомпрометированной ноде (а FirstVDS разослал письма) - считайте, что ваш диск склонировали целиком. 🟢 Нужно перевыпускать вообще все токены, которые лежали на сервере текстом. Отзывать ключи в GitHub, менять доступы к БД, убивать старые сессии. 🟢 Если у вас утекли персональные данные юзеров из-за этой дыры - можете начинать готовить вазелин для общения с РКН, потому что по 152-ФЗ виноваты будете вы, а не хостер. Эпоха доверяй но проверяй закончилась. Наступила эпоха зеро траст. Берегите свои .env, глупцы. 👍 Типичный 🥸 Сисадмин