Rus barındırma firması FirstVDS'te VMmanager açığıyla müşteri verileri kopyalandı

Rusya'nın en eski barındırma sağlayıcılarından FirstVDS, saldırganların VMmanager 6 sanallaştırma yönetim platformundaki bir açığı kullanarak müşteri verilerini çaldığını açıkladı. The Record'un 19 Ekim'de aktardığına göre saldırganlar, müşterilerin sanal makine disklerinden parolalar, bulut kimlik bilgileri ve kripto para cüzdanları dahil verileri sessizce kopyaladı. FirstVDS'in açıklamasına göre temeldeki açık henüz tamamen kapatılmadı; bu da olayı aynı yazılımı kullanan diğer sağlayıcılar için de önemli kılıyor.

Neler oldu?

The Record'a göre FirstVDS ihlali cumartesi günü fark etti ve hafta sonu kamuoyuna duyurdu. Saldırganlar, Rus yazılım şirketi ISPsystem tarafından geliştirilen ve barındırma sağlayıcılarının sanal makineleri yönetmek için kullandığı VMmanager 6 platformundaki bir açığı istismar etti.

Şirket, altyapısının yalnızca bir bölümünün etkilendiğini söyledi; ancak kaç müşterinin veya sunucunun ele geçirildiğini açıklamadı. The Record, saldırıyı üstlenen bir grup olmadığını, saldırganların kimliğinin ve amacının bilinmediğini belirtti.

Teknik detaylar

FirstVDS'in açıklamasına göre saldırganlar, müşteri disklerini salt okunur modda bağlayan ve dosyalarda değişiklik yapmadan ya da hizmeti aksatmadan verileri kopyalayan bir zararlı yazılım kurdu. Veriler saldırganların kontrolündeki bir sunucuya gönderildi. Şirket, saldırının etkilenen sanal sunucularda "iz bırakmadığını" ve bu sunucuların normal şekilde çalışmaya devam ettiğini söyledi.

FirstVDS'e göre çalınan veriler arasında parolalar, bulut hizmeti kimlik bilgileri, yapılandırma dosyaları, kripto para cüzdanları ve diğer dosyalar bulunuyor. Şirket, saldırganların açığı ilk olarak nasıl istismar ettiğini ve hangi VMmanager sürümlerinin etkilendiğini açıklamadı; çalınan verilerin başka saldırılarda kullanılıp kullanılmadığı da bilinmiyor.

Müdahale ve düzeltme

FirstVDS, savunmasız yönetim sistemine dışarıdan erişimi kapattığını ve saldırganların sunucusuyla iletişimi engellediğini açıkladı. Şirket pazartesi itibarıyla, VMmanager işlevlerinin sınırlandırılması dahil bazı kısıtlamalarla çalışmaya devam ediyordu.

The Record'un aktardığına göre ISPsystem, biri pazartesi gecesi devreye alınan birkaç yama yayımladı. Ancak FirstVDS'e göre açık henüz tamamen giderilmiş değil ve üretici, ek güvenlik güncellemeleri çıkana kadar yönetim arayüzüne erişimin yeniden açılmamasını tavsiye ediyor.

Ne yapmalı?

FirstVDS, ihlal bildirimi alan müşterilerine verilerinin çalındığını varsaymalarını ve parola ile erişim bilgilerini değiştirmelerini söyledi. Bu, pratikte etkilenen sunucularda saklanan tüm kimlik bilgilerinin, bulut API anahtarlarının ve yapılandırma dosyalarındaki gizli bilgilerin yenilenmesi, bu sistemlerde tutulan cüzdanlardaki varlıkların da taşınması anlamına geliyor.

VMmanager 6 kullanan diğer barındırma sağlayıcılarının ISPsystem'in yönergelerini izlemesi, mevcut tüm yamaları uygulaması ve üretici kesin bir düzeltmeyi doğrulayana kadar yönetim arayüzünü internete kapalı tutması önerilir. The Record'a göre 2002'den bu yana faaliyet gösteren FirstVDS'in Hollanda ve Kazakistan'da da sunucuları bulunuyor.