2026-жылдын октябрь айында чабуулчулар ISPsystem (Astra Groupтун бир бөлүгү) тарабынан иштелип чыккан виртуалдаштырууну башкаруу панели болгон VMmanager 6дагы маанилүү алсыздык аркылуу бир эле учурда бир нече орусиялык хостинг провайдерлерин бутага алышкан. Бул панель биз жана башка көптөгөн провайдерлер үчүн VPS иштетет. Бизге да таасир этти.
Серверлериңиз иштей берет. Төмөндө эмне болгону, эмне үчүн болгону, биз эмне кылганыбыз жана сиз эмне кылышыңыз керектиги көрсөтүлгөн.
Себеби: сатуучунун продуктусундагы алсыздык
Чабуул VMmanager 6 программасынын өзүндөгү маанилүү алсыздыктын айынан мүмкүн болгон. Бул бир провайдердеги туура эмес конфигурация эмес болчу: ошол эле алсыздык бир эле учурда көптөгөн хостинг компанияларына каршы колдонулган.
FirstVDS, ForestsNet Cloud, MHost, HSH Network жана YaColo компаниялары VMmanager 6 аркылуу бузулуулар тууралуу ачык билдиришти. Жеткирүүчү окуяны тастыктады: Astra Group өкүлүнүн айтымында, алсыздык VMmanager курулмаларынын биринде болгон.
| дата | окуя |
|---|---|
| October 11-16 | Чабуулчулар VMmanager 6 панелдерине алсыздык аркылуу жуктуруп, туруктуулукту орнотушту |
| 16-октябрдан 17-октябрга караган түнү | Активдүү фаза: панелдик маалымат базаларына жана кээ бир провайдерлерде кардар серверлерин жайгаштырган түйүндөргө кирүү мүмкүнчүлүгү |
| October 18 | Биз өзүбүздүн иликтөөбүздү баштап, алгачкы чараларды көрдүк |
| 17-октябрдан 18-октябрга караган түнү | ISPsystem биринчи оңдоону чыгарды (2026.05.2-6 версиясы) |
| October 19-20 | Сатуучу кошумча оңдоолорду чыгарды; алсыздык боюнча иштер уланууда |
| October 25 | Сатуучу акыркы коопсуздук жаңыртуусун чыгарды, биз аны орноттук. Бирок, алсыздыктын жана чабуул векторунун чоо-жайы азырынча ачыкка чыга элек. |
Сатуучу азырынча эмнени ачыкка чыгара электиги
Жарыяланган учурда, ISPsystem хостинг провайдерлерине алсыздыкты ишенимдүү түрдө оңдоо жана алардын инфраструктурасын текшерүү үчүн жетиштүү маалымат берген жок. Төмөнкүлөр жарыяланган эмес:
- аялуу жердин жана баштапкы жетүү ыкмасынын сүрөттөлүшү;
- CVE идентификатору жана жабыркаган версиялардын тизмеси;
- компромисстик көрсөткүчтөр (IoC): чабуулчунун сервер даректери, файл жана процесстердин аталыштары, туруктуулук белгилери;
- чыгарылган оңдоолор алсыздыкты толугу менен жапканын ырастоо.
Биринчи оңдоо 18-октябрдын түнүндө чыгарылды, андан кийин дагы бир нечеси чыкты. Жабыркаган башка провайдерлердин айтымында, провайдер өзү кошумча патчтар чыгарылмайынча панелге кирүүнү кайра ачпоо керектигин айткан. Техникалык маалыматтарсыз ар бир провайдер чабуулду өз алдынча, өзүнүн журналдарынан жана жыйынтыктарын кесиптештери менен бөлүшүү аркылуу кайра калыбына келтириши керек.
Биз жеткирүүчүдөн толук техникалык маалымат сурадык жана аны алгандан кийин жарыялайбыз. Алсыздык үчүн жана ал тууралуу маалыматты өз убагында ачыкка чыгаруу үчүн жоопкерчилик продуктуну иштеп чыгуучуда деп эсептейбиз.
Эмне агып кеткен болушу мүмкүн
Чабуулчулар панелдин маалымат базасына кирүү мүмкүнчүлүгүнө ээ болушту, анда төмөнкүлөр камтылган:
- серверлердин тизмеси жана алардын IP даректери;
- панелдик аккаунттардын электрондук почта даректери;
- сырсөздү заказ кылууда, кайра орнотууда же өзгөртүүдө панель аркылуу орнотулган түпкү сырсөздөр;
- VNC консолунун сырсөздөрү.
Айрым провайдерлерде чабуулчулар виртуалдаштыруу түйүндөрүнө да жетишкен. Ал жерде алар кардар серверинин дисктерин окуу режиминде орнотуп, алардан сырларды издеген программаны иштетишкен:
- SSH ачкычтары,
authorized_keys, сырсөз хэштери, сырсөз менеджерлери, GnuPG ачкычтары; - булут жана DevOps грамоталары: AWS, Google Cloud, Azure, Kubernetes, Docker, Terraform, GitHub, GitLab жана npm токендери;
.envжанаdocker-compose.ymlфайлдардын, тиркемелердин жана маалымат базасынын конфигурациялары;- крипто капчыктар, үрөн фразалары, алмашуу API ачкычтары;
- браузердин сырсөздөрү жана кукилери, кабыктын тарыхы;
- AI кызматынын API ачкычтары, restic жана Borg камдык көчүрмө сырсөздөрү.
Программа инфраструктура деңгээлинде иштеген жана серверлердин ичинде эч качан аткарылган эмес. Натыйжада, маалыматтар көчүрүлгөн күндө да, ал сервердин өзүндө эч кандай из калтырбайт.
Биз түйүндөрүбүздө бул программанын эч кандай издерин тапкан жокпуз, бирок сатуучудан маалымат жетишсиз болгондуктан, анын иштеп жатканын толугу менен жокко чыгара албайбыз.
Биз эмне кылдык
Сатуучудан толук маалымат күтпөстөн, биз өз алдынча иликтөө жүргүзүп, бизге белгилүү болгон кирүү жолдорун жаптык:
- Кол салуу аныкталгандан кийин дароо башкаруу панелине коомдук кирүү жабылды.
- Чабуулчулар тарабынан туруктуулук үчүн түзүлгөн эки панелибизден тең уруксатсыз администратор аккаунттары табылып, бөгөттөлдү. Чоо-жайы тергөө үчүн сакталып, сатуучу менен бөлүшүлдү.
- ISPsystem тарабынан чыгарылган бардык оңдоолор орнотулду.
- Панел серверинде сакталган бардык нерселерди айландырды: түйүнгө кирүү ачкычтары, эсеп-кысап жана колдоо интеграциялары үчүн кызмат сырсөздөрү, DNS жана камдык көчүрмө ачкычтары.
- Кардар серверлерин жайгаштырган түйүндөр текшерилди: файлдар, кызматтар, процесстер жана журналдар.
Эмне таасир эткен жок
Биздин иликтөөбүзгө ылайык, окуя төмөнкүлөргө таасир эткен жок:
- резервдик серверлер;
- эсептешүүдөгү жеке маалыматтар;
- төлөмдүн чоо-жайы;
- таасир эткен виртуалдаштырууну башкаруу платформасынан башка ар кандай кызматтар.
Бул системаларды бөлүү айырмачылыкты жаратты: виртуалдаштырууну башкаруу чөйрөсүнүн бир бөлүгүнө кирүү эсеп-фактура маалыматтарына, кардарлардын эсептерине же камдык көчүрмө инфраструктурасына мүмкүнчүлүк берген жок.
Эмне кылуу керек
Негизги коркунуч - чабуулчулар уурдалган сырсөздөрдү жана ачкычтарды колдонушат. Сервериңиздеги баары кадимкидей көрүнсө да, төмөнкүлөрдү мүмкүн болушунча эртерээк аткарыңыз.
- Криптовалюта капчыктары биринчи орунда турат. Эгерде сервер капчыктарды же үрөн фразаларын сактаса, каражаттарды башка, таза түзмөктө түзүлгөн жаңы капчыктарга жылдырыңыз.
- Түпкү сырсөзүңүздү өзгөртүңүз эгер сиз аны панель аркылуу орнотуп, ошондон бери өзгөртпөсөңүз.
- SSH ачкычы менен кирүүгө өтүү жана сырсөз менен кирүү мүмкүнчүлүгүн өчүрүү.
- Серверде сакталган бардык сырларды айландырыңыз: колдонуучунун жана маалымат базасынын сырсөздөрү, SSH ачкычтары, API ачкычтары жана токендери, булут кызматтарына кирүү мүмкүнчүлүгү, CI/CD, электрондук почта, төлөм системалары жана AI кызматтары.
- Эски ачкычтарды жокко чыгаруу жөн гана жаңыларын түзүүнүн ордуна: булут консолдорунда, GitHub, GitLab жана төлөм провайдерлери менен.
- Серверди текшериңиз: тааныш эмес колдонуучулар, ачкычтарды киргизиңиз
~/.ssh/authorized_keys, cron жумуштары, тааныш эмес процесстер жана системалык кызматтар. - Кирүү журналдарын текшерүү серверде жана анда ачкычтары сакталган кызматтарда: 11-октябрдан кийин тааныш эмес даректерден киргендерди издеңиз.
Эгер сизде VMmanager 6 иштеткен башка провайдерлер менен серверлер болсо, ал жерде да ошол эле кадамдарды жасаңыз.
Жардам керекпи?
Сервериңизден шектүү бир нерсе таптыңызбы же так билбей жатасызбы? Биздин колдоо тобуна кайрылыңыз — биз сизге аны чечүүгө жана керек болсо серверди кайра орнотууга жардам беребиз.
Келтирилген ыңгайсыздыктар үчүн, анын ичинде панелге кирүү мүмкүнчүлүгүнүн жоктугу үчүн кечирим сурайбыз. Бул макаланы сатуучулардан жаңы маалымат пайда болгондо жаңыртып турабыз жана тергөө аяктагандан кийин толук соттук-медициналык экспертиза жарыялайбыз.
