Компания ISPsystem (входит в «Группу Астра»), разработчик платформы серверной виртуализации VMmanager, объявила о закрытии уязвимости нулевого дня (0-day), использованной в ходе недавней масштабной атаки на одного из крупнейших российских провайдеров — FirstVDS. Разработчик оперативно выпустил комплекс обновлений безопасности для продуктовой линейки, переработал защитную архитектуру решений и провел проверку клиентских инфраструктур совместно со специалистами сервиса Kaspersky Incident Response и экспертами Kaspersky Threat Research.
Инцидент затронул одну из сборок VMmanager 6 Hosting, применяемую хостинг-провайдерами для автоматизированной выдачи виртуальных машин в открытом контуре. Злоумышленники успешно реализовали атаку за счет ранее неизвестной 0-day уязвимости, а особенность nginx пропускать такие запросы делала ее эксплуатацию возможной. Анализ показал, что атака велась с активным применением искусственного интеллекта: алгоритмы динамически адаптировали тактику под особенности конкретных провайдеров и параллельно перебирали векторы нападения.
В расследовании приняли участие эксперты «Лаборатории Касперского», которые предоставили обновленные базы индикаторов компрометации и специализированную утилиту Kaspersky Virus Removal Tool (KVRT) для сканирования и зачистки узлов провайдеров от вредоносных бинарных файлов.
Разработчик усилил техническую поддержку, а реагирование велось круглосуточно. Вендор экстренно выпустил серию внеплановых исправлений, временно заблокировал возможность удаленного управления и запуск внутренних скриптов, что позволило ограничить злоумышленникам пространство для маневра и помешать ему закрепиться в системе.
Чтобы проверить эффективность исправлений в условиях реальной атаки, ISPsystem развернула ряд стендов в открытом контуре, имитирующих инфраструктуру хостинг-провайдеров (honeypot): часть из них содержала актуальные патчи безопасности. Другая же часть была намеренно оставлена уязвимой.
Злоумышленники обнаружили стенды и в течение нескольких дней предпринимали попытки взлома: в общей сложности более 10 000 запросов на одну установку с перебором различных векторов атаки. Все попытки против защищенных стендов были отражены: стенды с исправлениями скомпрометировать не удалось. Исправления подтвердили эффективность в условиях реальных попыток взлома.
В результате инцидента ISPsystem перестроила сквозной жизненный цикл управления уязвимостями, перешла к модели превентивного экспресс-реагирования и внедрению непрерывного автоматизированного ИИ-пентеста для упреждающего поиска скрытых цепочек компрометации. При этом обновления безопасности получили все ключевые решения экосистемы, включая VMmanager, DCImanager, BILLmanager и DNSmanager.
«Инцидент затронул часть нашей инфраструктуры. С момента обнаружения атаки мы работали вместе с ISPsystem над её локализацией и параллельно провели собственное техническое расследование — его итоги публикуем отдельно. Сейчас продолжаем вместе с вендором проверку и усиление защиты», — отмечает Алексей Щербаков, генеральный директор FirstVDS.
«В данном инциденте применялось вредоносное ПО, написанное с помощью искусственного интеллекта. Использование возможностей ИИ в атаке на программу, которая установлена во множестве организаций, создало чрезвычайно опасную ситуацию. Поэтому сейчас особенно важно применять средства киберразведки и защиты от современных угроз, в том числе на базе ИИ», — отметил Александр Лискин, руководитель управления исследования угроз «Лаборатории Касперского».
«Мы столкнулись с беспрецедентной по своим масштабам атакой: одновременно под удар попали и наши продукты, и инфраструктура хостинг-провайдеров. Это новая реальность: мир атак меняется, ИИ делает их быстрее и сложнее, и безопасность перестала быть статичным свойством кода. Это непрерывная работа, и в ходе инцидента мы перестраивали процессы: сокращали время реакции, уточняли анализ и выстраивали коммуникацию без преждевременных обещаний. Понимаем, что ситуация потребовала от заказчиков и их клиентов дополнительных усилий, благодарим за терпение и помощь. В период расследования мы не публиковали технические детали, чтобы не предоставлять злоумышленникам дополнительную информацию, которую бы они могли использовать в своих целях, — отметил Павел Гуральник, генеральный директор ISPsystem (входит в «Группу Астра»). — Мы продолжаем расследование и не завершим его до тех пор, пока не будем уверены, что на стороне заказчиков не следов осталось вредоносных программ. Безопасность — это не состояние, а процесс, который требует постоянной работы, и мы ее продолжаем».
Совместный аудит затронутых инфраструктур и поиск остаточных артефактов продолжаются, совместно с заказчиками и партнёрами ISPsystem изучает скомпрометированные инфраструктуры, анализирует поведение злоумышленников, а также заложенные ими ранее бэкдоры.
