Napadači deset sati kopirali diskove klijenata ruskog hostinga FirstVDS
Ruski hosting provajder FirstVDS potvrdio je da su mu napadači 17. oktobra deset sati vršljali po infrastrukturi. Kod njega firme i programeri iznajmljuju virtuelne servere na kojima drže sajtove, baze i aplikacije. Napadači nisu provaljivali u same servere, nego su ušli u dublji sloj, kroz propust u VMmanageru, programu kojim provajder upravlja virtuelnim mašinama. Program VMmanager pravi ruska firma ISPsystem, deo Astra grupe. Napadači su u tom sloju infrastrukture pustili alat koji je čitao diskove klijenata, kopirao ih i slao napolje. Serveri su sve vreme radili normalno. U zapisima nije ostao trag, a vlasnici nisu imali šta da primete. Odneto može da bude sve što je na serverima stajalo: lozinke, ključevi za pristup drugim servisima i oblacima, podešavanja aplikacija, kripto novčanici. Koliko je klijenata pogođeno, FirstVDS ne kaže, ali je pogođenima poslao obaveštenja. Proizvođač je izdao privremenu ispravku, a provajder je do konačne zakrpe zatvorio spoljni pristup upravljačkom sistemu. Napadač nije poznat, a za sada se ne zna ni da li je ukradeno već negde zloupotrebljeno.
Ovo je slabost svakog iznajmljenog servera: ono što stoji na disku vidi i provajder, a sa njim i svako ko upadne u njegovu infrastrukturu. Klijent može da zaključa svoj server i opet da ostane bez podataka, jer napad ne dolazi od spolja, nego iznutra. U ovom slučaju, za žrtve je jedini razuman korak da pretpostave da su sve informacije bile izložene. Dva dana ranije rusko Ministarstvo digitalnog razvoja ponudilo je na javnu raspravu pravila za „softver od poverenja”: da nema poznatih nezakrpljenih ranjivosti i da se pravi u Rusiji. Domaća platforma je odmah pokazala da poreklo nije zaštita, a ranjivost za koju se ne zna ne može ni da se zakrpi. Isto važi za svaku priču o „suverenom” oblaku, u Evropi ili kod nas.
- Ako imaš server kod FirstVDS-a, sve tajne sa njega smatraj ukradenim: promeni lozinke, SSH i API ključeve, tokene i pristupe bazama, a stare obavezno opozovi, jer nov ključ ne poništava stari
- Kripto sredstva sa takvog servera prebaci na nove adrese, napravljene na čistom uređaju — nova lozinka za novčanik ne pomaže ako je fraza za oporavak već otišla
- Pogledaj ko se posle 17. oktobra prijavljivao na tvoje cloud naloge, repozitorijume i berze, a na serveru proveri authorized_keys, nove korisnike, cron i systemd servise
- Na iznajmljenom serveru ne drži lozinke i fraze za oporavak u čistom tekstu — računaj da disk može da pročita provajder, pa i svako ko upadne kod njega