Unos atacantes explotaron una vulnerabilidad de la plataforma VMmanager 6, de ISPsystem, para copiar archivos de servidores virtuales de clientes gestionados por el proveedor de alojamiento ruso FirstVDS. Según declaraciones de la empresa, según informó The Record, el material robado incluía contraseñas, credenciales de servicios en la nube, archivos de configuración y monederos de criptomonedas.
FirstVDS detectó la intrusión el sábado y la anunció durante el fin de semana. La empresa señaló que solo se había visto afectada una parte de su infraestructura, pero no ofreció un conteo de clientes, servidores ni personas implicadas.
FirstVDS advirtió que los clientes que reciban una notificación de brecha deben asumir que los datos almacenados en sus servidores fueron robados. Deben cambiar las contraseñas y reemplazar las credenciales de acceso expuestas, en lugar de confiar en que sus máquinas virtuales sigan disponibles o en que funcionen con normalidad.
Los atacantes montaron discos virtuales sin interrumpir los servidores
VMmanager 6 es una plataforma de gestión de virtualización de ISPsystem que las empresas de alojamiento utilizan para administrar máquinas virtuales distribuidas entre servidores físicos.
Según FirstVDS, un malware aprovechó la plataforma de gestión para montar los discos de los servidores virtuales de los clientes en modo de solo lectura. Así, los atacantes pudieron copiar archivos sin modificar su contenido ni interrumpir los servicios en ejecución. Después, los datos extraídos se enviaron a infraestructura controlada por los atacantes.
FirstVDS indicó que las máquinas virtuales en sí no se vieron comprometidas directamente y afirmó que no había «rastros» del ataque en los servidores afectados, que siguieron funcionando con normalidad. Esa descripción no reduce el impacto sobre la confidencialidad: un montaje de solo lectura puede dejar las cargas de trabajo de los clientes en funcionamiento y, aun así, exponer credenciales y otros archivos sensibles.
El proveedor ofrece servidores en Rusia, Países Bajos y Kazajistán. La información publicada no especifica qué ubicaciones de alojamiento formaban parte de la porción afectada de su infraestructura.
FirstVDS afirma que la vulnerabilidad aún no está completamente corregida
FirstVDS desactivó el acceso externo al sistema de gestión vulnerable y bloqueó las comunicaciones con el servidor de los atacantes. También declaró que ISPsystem había publicado varios parches tras la brecha, entre ellos una actualización desplegada durante la noche del lunes.
Sin embargo, FirstVDS informó de que la vulnerabilidad todavía no está resuelta por completo. ISPsystem recomendó a los operadores que no restablezcan el acceso a la interfaz de gestión hasta que haya disponibles más actualizaciones de seguridad.
A fecha del lunes, FirstVDS seguía operando con restricciones, entre ellas una disponibilidad reducida de algunas funciones de VMmanager. Las versiones afectadas de VMmanager 6 y los números de compilación corregidos no se identificaron en las declaraciones publicadas, lo que limita la capacidad de los administradores para determinar la exposición solo con una comprobación de versión.
Los clientes notificados deben rotar las credenciales expuestas
La acción inmediata para los clientes notificados de FirstVDS es considerar que el contenido de sus servidores ha sido copiado. Cambiar las contraseñas puede no ser suficiente si el servidor almacenaba otras credenciales reutilizables, secretos de configuración o datos de acceso a la nube; esas credenciales también deben sustituirse en los servicios donde sigan siendo válidas.
Los archivos de monederos de criptomonedas y los datos de configuración requieren especial atención, porque su copia puede generar riesgos fuera del servidor virtual afectado. Las declaraciones publicadas no establecen si la información robada se ha utilizado en ataques posteriores.
Los operadores de alojamiento que usan VMmanager 6 deben seguir la instrucción de ISPsystem de mantener inaccesible la interfaz de gestión mientras esperan nuevas actualizaciones de seguridad. Restablecer el acceso externo antes de que el proveedor considere resuelto el problema por completo podría volver a exponer la capa administrativa vulnerable.
