FirstVDS: атака через уязвимость виртуализации — что делать с доступами

17 октября злоумышленники получили доступ к части клиентских серверов FirstVDS через уязвимость в ПО виртуализации, которое хостинг использует в своей инфраструктуре. Компания сообщила об инциденте сама и перечислила, что именно могли прочитать атакующие в окне с 12:27 до 22:34 по московскому времени.

Что произошло

По версии хостера, на сервере могли быть прочитаны файлы. Интерес злоумышленников касался прежде всего доступов и секретов: SSH-ключей и authorized_keys, файлов паролей (shadow, .pgpass, .netrc, .htpasswd, .git-credentials), хранилищ KeePass и GPG, токенов облаков и DevOps (AWS, Google Cloud, Azure, OpenStack, kubeconfig, Docker, Terraform, GitHub, GitLab, npm), конфигов приложений и строк подключения к PostgreSQL, MySQL, MongoDB и Redis, ключей криптокошельков и бирж, API-ключей OpenAI и Anthropic, cookies браузеров и истории команд, паролей резервных копий Restic и Borg.

Отдельно подчёркивается: список неточный, исходить нужно из того, что скомпрометировано всё, что находилось на сервере, — файлы, пароли, ключи, токены, конфиги, базы и бэкапы.

Реакция компании: внешний доступ к системе управления виртуализацией, через которую провели атаку, отключён. Вендор выпустил промежуточный патч, окончательное исправление ещё готовится; до его выхода доступ к системе останется закрытым.

Что делать владельцам серверов

Порядок действий, который приводит хостер, начинается с криптокошельков: средства перевести на новый кошелёк, созданный не на этом сервере, ключи бирж отозвать. Дальше — сменить пароли и перевыпустить SSH-ключи, проверив authorized_keys на чужие записи; отозвать токены облаков, CI/CD, репозиториев и API-ключи, включая ИИ-сервисы; сменить пароли к базам и сервисам из конфигов, не забыв про историю команд; сменить пароли резервных копий и убедиться, что сами копии не тронуты; просмотреть логи облаков, репозиториев и бирж на подозрительные действия.

Если на сервере хранились персональные данные пользователей, оператор может быть обязан уведомить Роскомнадзор в течение 24 часов с момента, когда узнал об инциденте.

Что это значит

Инцидент напоминает простую вещь: компрометация хоста — это в первую очередь компрометация секретов, а не «сломанный сайт». Даже если вашей машины нет в затронутом списке, стоит провести ревизию доступов: убрать лишние ключи из authorized_keys, развести секреты production и dev, включить ротацию токенов и проверить, что резервные копии лежат отдельно от боевых серверов. Карточка FirstVDS с тарифами и локациями — в каталоге; если после инцидента вы сравниваете площадки, начните с подборки VPS.