Уразливість у системі віртуалізації дозволяла отримати доступ до файлів на орендованих серверах, включаючи паролі, закриті ключі та облікові дані для доступу до хмари. 

Хостинг-провайдер FirstVDS підтвердив, що 17 жовтня було скомпрометовано частину його інфраструктури. Використовуючи вразливість у системі віртуалізації VMmanager 6, зловмисники викрали файли з клієнтських серверів, зокрема паролі, ключі доступу та криптовалютні гаманці. Постраждалих користувачів закликали вжити негайних заходів для захисту своїх облікових записів та коштів.


Зловмисники скористалися вразливістю в програмному забезпеченні для керування віртуалізацією, щоб розгорнути спеціалізовану програму для крадіжки даних на деяких фізичних серверах FirstVDS. Цей шкідливий інструмент монтував диски клієнтських віртуальних машин у режимі лише для читання, витягував цільові файли та передавав зібрані дані на зовнішній сервер, контрольований зловмисниками. Постачальник підтвердив, що дані дійсно були викрадені за межі його інфраструктури.


Ключовою особливістю цієї атаки є те, що зловмисникам не потрібно було окремо компрометувати кожен клієнтський сервер. Шкідлива програма працювала на рівні інфраструктури хостинг-провайдера; вона не працювала всередині самих віртуальних машин і не змінювала вміст їхніх дисків. Як наслідок, орендовані сервери продовжували функціонувати нормально, що унеможливлювало для їхніх власників виявлення крадіжки через стандартні журнали операційної системи.


У прямому спілкуванні FirstVDS заявила, що файли на уражених серверах могли бути доступні третім особам 17 жовтня, між 12:27 та 22:34 за київським часом — потенційний період викриття становить 10 годин 7 хвилин. Компанія рекомендувала розглядати всі секрети, присутні на уражених машинах, як скомпрометовані, навіть якщо ще не встановлено, що конкретні файли були фактично скопійовані.

...data does not, in itself, prevent attackers from maintaining access via previously granted permissions.


Logs from third-party services require special attention. FirstVDS advises checking for logins to cloud accounts, repositories, and cryptocurrency exchanges originating from unknown IP addresses after October 17. If stolen keys have already been used to regain access, one might find unauthorized entries in the `authorized_keys` file, new user accounts, or unexpected cron jobs or systemd services on a virtual machine. Such traces point to subsequent actions taken by the attackers, rather than the initial copying of virtual disks.


The provider also warned of potential legal consequences for companies that stored their users' personal data on the compromised servers. Under Article 21 of Federal Law No. 152-FZ, if unauthorized access to personal data is confirmed—resulting in a violation of the data subjects' rights—the data operator is required to notify Roskomnadzor within 24 hours of discovering the incident and submit the findings of an internal investigation within 72 hours. The applicability of these requirements depends on the specific circumstances of each case.


FirstVDS has not yet disclosed the volume of data exfiltrated by the attackers, the number of clients affected by confirmed data theft, or whether the incident resulted in financial losses. The company has promised to release a technical analysis once the investigation is complete. The circumstances established so far underscore just how dangerous a breach of a centralized virtualization management system can be. Even a functional and thoroughly secured client server cannot, on its own, prevent the theft of files if attackers have gained access to the infrastructure where its disks are hosted.