«Беспрецедентная по своим масштабам атака»: ISPsystem закрыла уязвимость нулевого дня в VMmanager, атаки на FirstVDS продолжаются
ISPsystem закрыла уязвимость нулевого дня в VMmanager 6 Hosting, использованную при масштабной атаке на инфраструктуру FirstVDS. Разработчик выпустил внеплановые обновления для всей продуктовой линейки, временно заблокировал удаленное управление и запуск внутренних скриптов, а также переработал защитную архитектуру. По данным компании, в атаке использовалось вредоносное ПО, написанное с помощью ИИ. Попытки атак продолжаются.
Компания ISPsystem (входит в «Группу Астра»), разработчик платформы серверной виртуализации VMmanager, объявила о закрытии уязвимости нулевого дня (0-day) в платформе VMmanager 6 Hosting, через которую была совершена масштабная атака на инфраструктуру хостинг-провайдера FirstVDS. Разработчик выпустил обновления безопасности для всей продуктовой линейки, переработал защитную архитектуру и провел проверку клиентских инфраструктур совместно со специалистами Kaspersky Incident Response и Kaspersky Threat Research. Попытки атак на платформу продолжаются. Об этом SecPost рассказали в компании.
Ранее редакция писала о том, что разработчик подтвердил эксплуатацию уязвимости в одной из сборок платформы виртуализации VMmanager 6 — через неё злоумышленники проникли в инфраструктуру хостинг-провайдера FirstVDS и похитили данные клиентов. Кроме того, SecPost готовил материал о масштабах использования платформы: она развёрнута более чем на 6 тысячах серверов компаний и госучреждений. Эксперты предупреждают, что компрометация одного управляющего компонента может поставить под угрозу целую цепочку организаций, и что смены паролей после такой атаки недостаточно.
Инцидент затронул одну из сборок VMmanager 6 Hosting, применяемую хостинг-провайдерами для автоматизированной выдачи виртуальных машин в открытом контуре, как указывается в сообщении компании. Атака была реализована за счет ранее неизвестной уязвимости нулевого дня, а особенность nginx пропускать такие запросы делала ее эксплуатацию возможной. По данным анализа, атака велась с активным применением искусственного интеллекта: алгоритмы динамически адаптировали тактику под особенности конкретных провайдеров и параллельно перебирали векторы нападения.
В расследовании приняли участие эксперты «Лаборатории Касперского», которые предоставили обновленные базы индикаторов компрометации и утилиту Kaspersky Virus Removal Tool (KVRT) для сканирования и зачистки узлов провайдеров от вредоносных бинарных файлов. Вендор экстренно выпустил серию внеплановых исправлений, временно заблокировал возможность удаленного управления и запуск внутренних скриптов, что позволило ограничить злоумышленникам пространство для маневра и помешать ему закрепиться в системе.
Для проверки эффективности исправлений в условиях реальной атаки ISPsystem развернула ряд стендов в открытом контуре, имитирующих инфраструктуру хостинг-провайдеров (honeypot): часть из них содержала актуальные патчи безопасности, другая была намеренно оставлена уязвимой. Злоумышленники обнаружили стенды и в течение нескольких дней предпринимали попытки взлома: в общей сложности более 10 000 запросов на одну установку с перебором различных векторов атаки. Все попытки против защищенных стендов были отражены, стенды с исправлениями скомпрометировать не удалось.
По итогам инцидента ISPsystem перестроила сквозной жизненный цикл управления уязвимостями, перешла к модели превентивного экспресс-реагирования и внедрению непрерывного автоматизированного ИИ-пентеста для упреждающего поиска скрытых цепочек компрометации. Обновления безопасности получили все ключевые решения экосистемы, включая VMmanager, DCImanager, BILLmanager и DNSmanager.
«В данном инциденте применялось вредоносное ПО, написанное с помощью искусственного интеллекта. Использование возможностей ИИ в атаке на программу, которая установлена во множестве организаций, создало чрезвычайно опасную ситуацию. Поэтому сейчас особенно важно применять средства киберразведки и защиты от современных угроз, в том числе на базе ИИ», — отметил Александр Лискин, руководитель управления исследования угроз «Лаборатории Касперского».
Павел Гуральник, генеральный директор ISPsystem (входит в «Группу Астра»), отметил, что компания столкнулась с беспрецедентной по масштабам атакой, под удар попали одновременно и продукты вендора, и инфраструктура хостинг-провайдеров. «ИИ делает атаки быстрее и сложнее, и безопасность перестала быть статичным свойством кода», — сказал он, добавив, что в ходе инцидента компания перестраивала процессы, сокращала время реакции и уточняла анализ. По его словам, в период расследования технические детали не публиковались, чтобы не предоставлять злоумышленникам дополнительную информацию. «Мы продолжаем расследование и не завершим его до тех пор, пока не будем уверены, что на стороне заказчиков не осталось следов вредоносных программ», — подчеркнул Гуральник.
Совместный аудит затронутых инфраструктур и поиск остаточных артефактов продолжаются: ISPsystem совместно с заказчиками и партнерами изучает скомпрометированные инфраструктуры, анализирует поведение злоумышленников и заложенные ими ранее бэкдоры. Детальный технический разбор инцидента опубликован в статье.
Читайте также
