Інфраструктуру хостинг-провайдерів накрило найважчим інцидентом: експлуатація критичної вразливості в панелі управління віртуалізацією VMmanager 6 дала змогу зловмисникам дістатися до вузлів віртуалізації. На відміну від звичайних зломів через підбір SSH-паролів чи застарілі плагіни WordPress, вектор атаки пройшов безпосередньо через гіпервізор. Шкідливий збирач викачував файли просто зі зліпків дисків на рівні хост-системи: конфіги, токени та приватні ключі копіювалися так, що всередині гостьових ОС навіть не спрацювали журнали аудиту.
Під ударом опинилися сотні медіабаїнгових команд, які тримали на бюджетних VPS власні трекери,бази лідів та робочі клоаки.
Анатомія перехоплення: що пішло в мережу
Помилка в захисті панелі дозволила зловмисникам обійти авторизацію, закріпитися на майданчиках провайдерів і запустити скрипти автоматичного парсингу файлових систем. Софт сканував накопичувачі на наявність конфігурацій .env, дампів баз даних, приватних сертифікатів та змінних середовища.
Удар припав по фундаментальних елементах арбітражного сетапу:
Прямий злив із дисків: шкідливе ПЗ копіювало дані безпосередньо зі зліпків віртуальних дисків,поставивши під загрозу бази трекерів (Keitaro, Binom), API-токени рекламних кабінетів, SSL-сертифікати та бойові скрипти клоакінгу.
Примусове відкликання доступів: хостери офіційно закликали вважати скомпрометованими абсолютно всі паролі, приватні ключі та SSH-сертифікати на зачеплених віртуальних машинах.
Міграція на «залізо»: команди екстрено регенерують токени автозаливів і масово мігрують інфраструктуру на ізольовані bare-metal сервери, щоб виключити ризик перехоплення робочих зв'язок конкурентами.
Оскільки зчитування йшло безпосередньо з блокових пристроїв хоста, вбудовані антивіруси чи фаєрволи на віртуалках не зафіксували підозрілої активності. Більшість баєрів дізналися про інцидент уже після публічних сповіщень від технічної підтримки хостинг-компаній.
Ризики для робочих зв'язок та рекламних кабінетів
Злив баз даних Keitaro та Binom тягне за собою повну деанонімізацію воронки. Треті особи отримали списки цільових доменів, фільтри ботів, вайт- і блек-пейджі, а головне — робочі постбек-урли із закритими токенами партнерок. Завдяки цій інформації конкуренти здатні не лише скопіювати зв'язку, але й перенаправити трафік на свої лінки або спамити трекер фіктивними подіями, ламаючи оптимізацію пікселів у джерелах.
Ще більшу загрозу становить витік API-токенів від Facebook, Google Ads, TikTok та панелей автозаливу. Якщо ці ключі лежали відкритим текстом у скриптах або змінних оточення, зловмисники отримують повний контроль над керуванням рекламою, платіжними профілями та денними лімітами витрат.
План порятунку інфраструктури: що робити негайно
Хостери оперативно розкотили оновлення безпеки, проте сам факт вивантаження дисків робить подальшу роботу на старих машинах небезпечною. Технічні фахівці команд зараз відпрацьовують термінові заходи захисту:
Негайно відкликати та згенерувати наново всі API-ключі від рекламних кабінетів, платіжних систем, софту автозаливу та партнерських мереж, які були прописані на серверах.
Створити нові пари SSH-ключів, змінити root-паролі та прибрати порт 22 з публічного доступу, дозволивши підключення виключно через VPN або статичний білий IP.
Перевипустити SSL-сертифікати для доменів і трекерів, оскільки секретні ключі шифрування трафіку також вважаються скопійованими.
Розгорнути чисті інстанси трекерів на окремих серверах, відновити бази з перевірених бекапів до дати зламу та змінити шляхи до адмін-панелей.
Відмовитися від дешевих shared-VPS на базі сторонніх панелей для зберігання чутливої інформації, перевівши ключові вузли на фізичні сервери з апаратним шифруванням дисків (LUKS).
Цей інцидент вкотре показує просту річ: будь-яка віртуалізація у стороннього хостера несе системний ризик, якщо конфігурації та бази не захищені власним шифруванням.
👉🏻Слідкуйте за новинами в нашому telegram-каналі — Новини Арбітражу.
Коментарів поки немає. Почніть обговорення.