Инфраструктуру хостинг-провайдеров накрыло тяжелейшим инцидентом: эксплуатация критической уязвимости в панели управления виртуализацией VMmanager 6 позволила злоумышленникам получить прямой доступ к узлам виртуализации. В отличие от рядовых взломов через подбор SSH-паролей или дырявые плагины WordPress, атака прошла на уровне гипервизора. Вредоносный сборщик работал со слепками дисков снаружи гостевых операционных систем, выкачивая файлы конфигураций, токены и приватные ключи так, что внутри самих виртуалок даже не сработали логи безопасности.
Среди пострадавших оказались сотни медиабаинговых команд, державших на дешевых VPS рабочие трекеры, базы лидов и скрипты клоакинга.
Анатомия перехвата: что утекло в сеть
Уязвимость позволила атакующим обойти авторизацию в управляющей панели, закрепиться на мастер-серверах хостеров и развернуть скрипты автоматического парсинга накопителей. Софт целенаправленно искал конфигурационные файлы .env, дампы баз данных, приватные ключи и переменные окружения.
Удар пришелся по ключевым точкам арбитражной инфраструктуры:
Прямой слив с дисков: вредоносное ПО копировало данные напрямую со слепков виртуальных дисков, поставив под удар базы трекеров (Keitaro, Binom), API-токены рекламных кабинетов, SSL-сертификаты и боевые скрипты клоакинга.
Принудительный отзыв доступов: хостеры официально призвали считать скомпрометированными абсолютно все пароли, приватные ключи и SSH-сертификаты на затронутых виртуальных машинах.
Миграция на «железо»: команды экстренно регенерируют токены автозаливов и массово мигрируют инфраструктуру на изолированные bare-metal серверы, чтобы исключить риск перехвата рабочих связок конкурентами.
Поскольку копирование шло напрямую с блочных устройств ноды, антивирусы и фаерволы внутри клиентских виртуальных машин ничего подозрительного не зафиксировали. О масштабе проблемы байеры узнали только после публичных уведомлений от служб поддержки хостеров.
Угроза боевым связкам и рекламным аккаунтам
Попадание баз данных Keitaro и Binom в чужие руки означает мгновенную деанонимизацию связок. В руках третьих лиц оказались списки целевых доменов, логика фильтрации ботов, белые и черные страницы, а главное — прямые постбэк-урлы с закрытыми токенами партнерских сетей. Используя эти данные, конкуренты могут не просто скопировать воронку, но и перехватить трафик либо заспамить трекер фейковыми конверсиями, сломав оптимизацию пикселей в рекламных источниках.
Еще опаснее компрометация API-токенов от Facebook, Google Ads, TikTok и сервисов автозалива.Если токены хранились в незашифрованном виде внутри конфигов или трекинговых скриптов, злоумышленники получают прямой доступ к управлению кампаниями, привязанным платежкам и балансам спенда.
План экстренного реагирования: спасение сетапов
Хостинг-провайдеры выпустили экстренные патчи для закрытия дыры, но факт выгрузки слепков дисков аннулирует безопасность всех существующих виртуалок. Чтобы купировать последствия,техлиды команд разворачивают жесткие протоколы очистки:
Немедленно аннулировать и перевыпустить все API-ключи от рекламных кабинетов, платежных сервисов, автозаливов и партнерских сетей, к которым был доступ с пострадавших серверов.
Сгенерировать новые SSH-ключи, сменить пароли пользователей и полностью закрыть стандартный порт 22, оставив вход на серверы исключительно через выделенный белый список IP или VPN.
Перевыпустить SSL-сертификаты для всех доменов и трекеров, так как приватные ключи шифрования трафика также могли быть скопированы сборщиком.
Развернуть чистые инстансы трекеров на полностью независимых серверах, накатить свежие базы данных из проверенных бэкапов и сменить адреса админ-панелей.
Исключить использование shared-VPS на базе уязвимых панелей под хранение коммерческих секретов, перенеся критические узлы на выделенные физические серверы с полным шифрованием дисков (LUKS) на этапе загрузки.
Очередной инцидент наглядно подтверждает базовое правило безопасности: любая виртуализация у стороннего провайдера небезопасна по умолчанию, если секреты и базы данных хранятся в открытом виде без аппаратного шифрования.
👉🏻Следите за новостями в нашем telegram-канале — Новости Арбитража.
Комментариев пока нет. Начните обсуждение.