ロシアのホスティング事業者FirstVDSは週末、サーバー管理に使うソフトウェアの脆弱性を突かれ、顧客のパスワードやアクセス認証情報などの機密データがハッカーに盗まれたと明らかにしました。
攻撃は土曜日に発覚しました。FirstVDSのインフラの一部が被害を受け、ハッカーは顧客の仮想サーバーに保存されたデータにアクセスできる状態でした。ただし、サーバーの稼働には支障が出ていません。
同社によると、攻撃者が悪用したのは、ロシアのソフトウェア企業ISPsystemが開発した仮想化管理プラットフォーム「VMmanager 6」の脆弱性です。このプラットフォームは、ホスティング事業者が複数の物理サーバーにまたがる仮想マシンを管理するためのものです。
ハッカーはその後マルウェアを展開し、顧客の仮想サーバーからデータをコピーしました。対象にはパスワード、クラウドサービスの認証情報、設定ファイル、暗号資産ウォレットなどのファイルが含まれます。FirstVDSによると、盗まれた情報は攻撃者の管理するサーバーに送信されました。
同社は、侵害を受けたのはインフラの一部にとどまると説明しています。一方で、影響を受けた顧客数やサーバー数は明らかにしていません。
FirstVDSは2002年から事業を続けており、ロシアでも有数の老舗ホスティング事業者です。顧客がWebサイトやアプリケーション、データベースなどのオンラインサービスを動かすための仮想専用サーバー(VPS)を提供しています。オランダやカザフスタンなど、ロシア国外に設置したサーバーも扱っています。
FirstVDSによると、攻撃者は仮想マシン自体を直接侵害することなく、顧客データにアクセスできました。マルウェアは仮想マシンのディスクを読み取り専用でマウントしており、ファイルを改変したり通常の稼働を妨げたりせずに情報をコピーできたということです。
同社は「その結果、被害を受けた仮想サーバーには攻撃の痕跡が残っておらず、通常どおり稼働を続けています」と述べています。
FirstVDSは、侵害の通知を受け取った顧客に対し、サーバー上のデータは盗まれたものと考えるよう警告しました。あわせて、パスワードやアクセス認証情報の変更を強く求めています。
同社は、脆弱な管理システムへの外部からのアクセスを遮断し、攻撃者のサーバーとの通信もブロックしたとしています。
FirstVDSによると、ISPsystemは侵害の発覚後、月曜日未明に配信したアップデートを含め複数のパッチを公開しました。ただ、脆弱性はまだ完全には修正されていません。
ISPsystemは、追加のセキュリティアップデートが公開されるまで、管理インターフェースへのアクセスを復旧しないよう呼びかけています。
サービスステータスのページによると、FirstVDSは月曜日の時点でも、VMmanagerの機能を一部制限するなど、制約付きで運用を続けています。
攻撃者が当初どのように脆弱性を悪用したのか、どのバージョンのソフトウェアが影響を受けたのか、盗まれたデータが別の攻撃に使われたのかについて、同社は明らかにしていません。ハッカーの正体や動機も不明です。
翻訳元: https://therecord.media/russia-cyberattack-firstvds-cloud
