Мы обнаружили, что 17 октября злоумышленники получили доступ к части клиентских серверов через уязвимость в ПО виртуализации, которое используется в нашей инфраструктуре.

Что произошло
17 октября в период с 12:27 по 22:34 по московскому времени на сервере могли быть прочитаны файлы. Судя по тому, что мы видим, злоумышленников интересовали в первую очередь доступы и секреты:

• SSH-ключи и authorized_keys, файлы паролей (shadow, .pgpass, .netrc, .htpasswd, .git-credentials), хранилища KeePass и GPG;
• доступы к облакам и DevOps: AWS, Google Cloud, Azure, OpenStack, kubeconfig, Docker, Terraform, токены GitHub, GitLab, npm;
• конфиги приложений и БД: .env, docker-compose.yml, application.yml, web.config, строки подключения к PostgreSQL, MySQL, MongoDB, Redis;
• криптокошельки, seed-фразы, ключи валидаторов, API-ключи бирж;
• API-ключи OpenAI и Anthropic;
• сохранённые пароли и cookies браузеров, история команд (bash, zsh, mysql, psql, redis, python);
• пароли резервных копий (Restic, Borg).

Список не точный, исходите из того, что скомпрометировано всё, что на нём находилось: любые файлы, пароли, ключи, токены, конфиги, базы данных и резервные копии.

Что мы уже сделали
Сразу после обнаружения мы отключили внешний доступ к системе управления виртуализацией, через которую была проведена атака. Вендор выпустил промежуточный патч. Полностью уязвимость пока не устранена, вендор работает над окончательным исправлением, мы на связи с ним. До его выхода доступ к системе останется отключённым.

Что нужно сделать вам — прямо сейчас

• 1. Если на сервере были криптокошельки, seed-фразы или ключи бирж — в первую очередь переведите средства на новый кошелёк, созданный не на этом сервере, и отзовите ключи бирж.
• 2. Считайте все секреты на сервере скомпрометированными. Смените пароли, перевыпустите SSH-ключи, проверьте authorized_keys на чужие ключи.
• 3. Отзовите и перевыпустите токены облаков, CI/CD, репозиториев и API-ключи, включая ИИ-сервисы.
• 4. Смените пароли к базам данных и сервисам из конфигов. Не забудьте про пароли, которые могли остаться в истории команд.
• 5. Смените пароли резервных копий и проверьте, что сами копии не тронуты.
• 6. Посмотрите логи облаков, репозиториев и бирж на подозрительные действия.

Про персональные данные
Если на сервере хранились персональные данные ваших пользователей, вы как оператор можете быть обязаны уведомить Роскомнадзор в течение 24 часов с момента, как узнали об инциденте.

Время обработки запросов может быть увеличено
Мы на связи через систему тикетов в личном кабинете, однако время обработки запросов может быть увеличено.

Нам очень жаль, что так вышло. Делаем всё, чтобы разобраться и не допустить повторения.
FirstVDS

Мы выпустили обновление безопасности для DCImanager 6. Оно закрывает уязвимость и повышает надёжность работы платформы.

Просим обновить продукт до актуальной версии. Рекомендуем установить обновление в ближайшее время

После установки рекомендуем проверить систему на наличие подозрительной активности. Если у вас есть вопросы или нужна помощь, обратитесь в техническую поддержку.

Сообщаем, что выпущено обновление безопасности VMmanager 6. Его следует установить, чтобы удалить злоумышленника из инфраструктуры, если он получил доступ ранее: фикс убирает закрепление, оставленное атакующим, и закрывает вектор, через который был получен доступ.

Просим установить обновление в ближайшее время. Дополнительно, на период пока угроза остается активной, рекомендуем ограничить доступ к платформе по белым спискам.

После установки рекомендуем проверить систему на наличие подозрительной активности. Если у вас есть вопросы или нужна помощь, обратитесь в техническую поддержку

В настоящее время мы проводим срочное техническое обслуживание всех наших основных маршрутизаторов. Обслуживание проводится поочередно. В ходе этих работ снижается общая избыточность сети. Мы не ожидаем перебоев в работе, но вы можете заметить увеличение задержки.

Это техническое обслуживание обеспечивает долгосрочную безопасность и стабильность нашей инфраструктуры. Благодарим вас за понимание и терпение.

Следить за состоянием сайта должно быть просто. Поэтому мы обновили мониторинг и сделали его удобнее: собрали важные показатели в одном месте, упростили навигацию и добавили выгрузку отчетов по инцидентам.
Стало проще:

• оценивать состояние сайтов,
• замечать сбои и проблемные зоны,
• переходить от общего обзора к деталям,
• выгружать данные для отчетности и анализа.

firstvds.ru/services/site-monitoring

На ЦОД VK в Ленинградской области совершена атака БПЛА. Сервисы VK доступны пользователям в обычном режиме.