Инцидент безопасности — срочно смените доступы

Мы обнаружили, что 17 октября злоумышленники получили доступ к части клиентских серверов через уязвимость в ПО виртуализации, которое используется в нашей инфраструктуре.

Что произошло
17 октября в период с 12:27 по 22:34 по московскому времени на сервере могли быть прочитаны файлы. Судя по тому, что мы видим, злоумышленников интересовали в первую очередь доступы и секреты:

• SSH-ключи и authorized_keys, файлы паролей (shadow, .pgpass, .netrc, .htpasswd, .git-credentials), хранилища KeePass и GPG;
• доступы к облакам и DevOps: AWS, Google Cloud, Azure, OpenStack, kubeconfig, Docker, Terraform, токены GitHub, GitLab, npm;
• конфиги приложений и БД: .env, docker-compose.yml, application.yml, web.config, строки подключения к PostgreSQL, MySQL, MongoDB, Redis;
• криптокошельки, seed-фразы, ключи валидаторов, API-ключи бирж;
• API-ключи OpenAI и Anthropic;
• сохранённые пароли и cookies браузеров, история команд (bash, zsh, mysql, psql, redis, python);
• пароли резервных копий (Restic, Borg).

Список не точный, исходите из того, что скомпрометировано всё, что на нём находилось: любые файлы, пароли, ключи, токены, конфиги, базы данных и резервные копии.

Что мы уже сделали
Сразу после обнаружения мы отключили внешний доступ к системе управления виртуализацией, через которую была проведена атака. Вендор выпустил промежуточный патч. Полностью уязвимость пока не устранена, вендор работает над окончательным исправлением, мы на связи с ним. До его выхода доступ к системе останется отключённым.

Что нужно сделать вам — прямо сейчас

• 1. Если на сервере были криптокошельки, seed-фразы или ключи бирж — в первую очередь переведите средства на новый кошелёк, созданный не на этом сервере, и отзовите ключи бирж.
• 2. Считайте все секреты на сервере скомпрометированными. Смените пароли, перевыпустите SSH-ключи, проверьте authorized_keys на чужие ключи.
• 3. Отзовите и перевыпустите токены облаков, CI/CD, репозиториев и API-ключи, включая ИИ-сервисы.
• 4. Смените пароли к базам данных и сервисам из конфигов. Не забудьте про пароли, которые могли остаться в истории команд.
• 5. Смените пароли резервных копий и проверьте, что сами копии не тронуты.
• 6. Посмотрите логи облаков, репозиториев и бирж на подозрительные действия.

Про персональные данные
Если на сервере хранились персональные данные ваших пользователей, вы как оператор можете быть обязаны уведомить Роскомнадзор в течение 24 часов с момента, как узнали об инциденте.

Время обработки запросов может быть увеличено
Мы на связи через систему тикетов в личном кабинете, однако время обработки запросов может быть увеличено.

Нам очень жаль, что так вышло. Делаем всё, чтобы разобраться и не допустить повторения.
FirstVDS