Апокалипсис VMmanager, день третий

История с дырявым гипервизором VMmanager 6 и взломом FirstVDS обрастает новыми подробностями. Если кто думал, что вендор за это время героически дропнул патч и всё починил - у меня плохие новости.

В оф. канале FirstVDS выкатили примерно такой апдейт:

Патча нормального нет, костыли от ISPsystem доверия не внушают, поэтому мы просто делаем полное закрытие доступа к панели управления виртуализацией для пользователей.

Контора приняла единственно верное, суровое сисадминское решение... нет сервиса - нет уязвимости. Доступ к панели виртуализации для юзеров закрыт. Сейчас они переписывают API, чтобы базовые кнопки (ребут, реинсталл) дергать прямо из самописного личного кабинета. Моё почтение за радикальность. Лечить сифилис отсечением органа - метод жесткий, но надежный.

А теперь самая мякотка для тех, кто сейчас грепает auth.log внутри своих виртуалок и радуется, что там чисто.

Чуваки, внутри ваших ОС следов и не будет. Хацкеры не ломали ваши убунты и дебианы по SSH. Они пробили саму железку, где крутится гипервизор, после чего скриптом просто подмонтировали образы ваших дисков в ридонли.

Злоумышленники тупо прошлись пылесосом по ФС:

Стянули файлы конфигураций.

Выгребли SSH-ключи (привет всем, кто хранит приватники без пароля).

Забрали токены, bash_history (ох уж эти пароли от рута прямым текстом в консоли).

И, конечно же, вынесли wallet.dat и прочие файлы криптокошельков, если они были.

Посмотрите на скрин. Как только злоумышленники получают доступ или нащупывают дыру, в дело вступают сканеры. На скрине видно, как некий бот (гугловское облако, локация Брюссель) долбится во все возможные вариации файлов окружения: /cms/.env, /config/.env, /laravel/.env.

Зачем им .env? Да потому что это святой грааль современного веба, ведь именно там ленивые разрабы хранят доступы к мастер-базам данных, ключи от хранилищ, токены интеграции с платежками и секретные хэши для кукисов. Один такой скачанный файлик - и хацкер уносит всю инфру.

Google Cloud тут выступает тупо как удобный проксиВПН для ноды, с которой летит брутфорс. Удобно, дешево, и Гугл абузы обрабатывает годами.

Поэтому:

Если ваша виртуалка жила на скомпрометированной ноде (а FirstVDS разослал письма) - считайте, что ваш диск склонировали целиком.

Нужно перевыпускать вообще все токены, которые лежали на сервере текстом. Отзывать ключи в GitHub, менять доступы к БД, убивать старые сессии.

Если у вас утекли персональные данные юзеров из-за этой дыры - можете начинать готовить вазелин для общения с РКН, потому что по 152-ФЗ виноваты будете вы, а не хостер.

Эпоха доверяй но проверяй закончилась. Наступила эпоха зеро траст.

Телеграм: t.me/ainewsline

Источник: vk.com

Комментарии: