Gli aggressori hanno sfruttato una vulnerabilità della piattaforma VMmanager 6 di ISPsystem per copiare file dai server virtuali dei clienti gestiti dal provider di hosting russo FirstVDS. Secondo le dichiarazioni dell'azienda, il materiale sottratto comprendeva password, credenziali di servizi cloud, file di configurazione e wallet di criptovalute, segnalato da The Record.
FirstVDS ha scoperto l'intrusione sabato e l'ha annunciata durante il fine settimana. L'azienda ha dichiarato che era coinvolta solo una parte della sua infrastruttura, ma non ha fornito un numero di clienti, server o persone interessate.
I clienti che ricevono una notifica di violazione dovrebbero presumere che i dati memorizzati sui loro server siano stati sottratti, ha avvertito FirstVDS. Dovrebbero cambiare le password e sostituire le credenziali di accesso esposte, senza fare affidamento sulla disponibilità continua o sul normale funzionamento apparente delle loro macchine virtuali.
Gli aggressori hanno montato i dischi virtuali senza interrompere i server
VMmanager 6 è una piattaforma di gestione della virtualizzazione di ISPsystem, che le aziende di hosting usano per amministrare le macchine virtuali distribuite su server fisici.
Secondo FirstVDS, un malware ha abusato della piattaforma di gestione per montare i dischi dei server virtuali dei clienti in sola lettura. In questo modo gli aggressori hanno potuto copiare i file senza modificarne il contenuto e senza interrompere i servizi in esecuzione. I dati sottratti sono poi stati inviati a un'infrastruttura controllata dagli aggressori.
FirstVDS ha affermato che le macchine virtuali in sé non erano compromesse direttamente e ha sostenuto che sui server coinvolti non c'era «nessuna traccia» dell'attacco, che hanno continuato a funzionare normalmente. Questa descrizione non riduce l'impatto sulla riservatezza: un montaggio in sola lettura può lasciare in funzione i carichi di lavoro dei clienti e, allo stesso tempo, esporre credenziali e altri file sensibili.
Il provider offre server in Russia, nei Paesi Bassi e in Kazakistan. Il resoconto disponibile non specifica quali località di hosting fossero incluse nella parte dell'infrastruttura colpita.
La vulnerabilità non è ancora stata completamente risolta, secondo FirstVDS
FirstVDS ha disattivato l'accesso esterno al sistema di gestione vulnerabile e ha bloccato le comunicazioni con il server degli aggressori. Ha inoltre dichiarato che ISPsystem ha rilasciato diverse patch dopo la violazione, tra cui un aggiornamento distribuito durante la notte di lunedì.
Tuttavia, FirstVDS ha riferito che la vulnerabilità non era ancora stata risolta del tutto. ISPsystem ha consigliato agli operatori di non ripristinare l'accesso all'interfaccia di gestione finché non saranno disponibili ulteriori aggiornamenti di sicurezza.
A partire da lunedì, FirstVDS operava ancora con alcune restrizioni, tra cui una ridotta disponibilità di alcune funzioni di VMmanager. Nelle dichiarazioni riportate non sono state indicate le versioni di VMmanager 6 interessate né le build corrette specifiche, il che limita la possibilità per gli amministratori di stabilire l'esposizione solo verificando la versione in uso.
I clienti notificati devono sostituire le credenziali esposte
L'azione immediata per i clienti FirstVDS notificati è considerare il contenuto dei server come copiato. Cambiare le password potrebbe non bastare se il server conservava altre credenziali riutilizzabili, segreti di configurazione o dati di accesso ai servizi cloud; anche queste credenziali andrebbero sostituite nei servizi in cui restano valide.
I file dei wallet di criptovalute e i dati di configurazione richiedono un'attenzione particolare, perché la loro copia può creare rischi al di fuori del server virtuale coinvolto. Le dichiarazioni disponibili non stabiliscono se le informazioni sottratte siano state usate in attacchi successivi.
Gli operatori di hosting che usano VMmanager 6 dovrebbero seguire le indicazioni di ISPsystem e mantenere l'interfaccia di gestione inaccessibile in attesa di ulteriori aggiornamenti di sicurezza. Ripristinare l'accesso esterno prima che il fornitore consideri il problema completamente risolto potrebbe esporre di nuovo il livello amministrativo vulnerabile.
