Телеграм канал «Ever Secure»

Что воровали с гипервизоров FirstVDS: разбор паттернов стилера
К слову, а куда будут смотреть хакеры, попади они в вашу инфраструктуру. Пошли уже проверять?

1. .env это первая цель.
Десятки вариаций: *.env*, env?, .env.production, .envrc, .flaskenv, config*.env, *.env.keys. Ваш .env рядом с docker-compose.yml это не «конфиг», это готовый пакет секретов. Кстати, docker-compose*.yml и Dockerfile* тоже в списке.

2. IaC и кластер.
*.tfstate, *.tfvars, kubeconfig, .kube/config, .docker/config.json, .vault-token, .sops.yaml, vault-password, .ansible_vault, acme.json. tfstate с секретами в открытом виде до сих пор классика.

3. CI/CD.
.gitlab-ci.yml, .github/workflows/*, Jenkinsfile, hudson.util.Secret, credentials.xml, .gitlab-runner/config.toml. Отдельно список переменных: GITHUB_TOKEN, NPM_TOKEN, SONAR_TOKEN, ARM_CLIENT_SECRET, GOOGLE_APPLICATION_CREDENTIALS.

4. AI-тулинг. Новое.
.claude.json, .cursor/mcp.json, .codex/config.toml, .continue/*, .aider.conf*, litellm_config.yaml, hf_token*, openai.key, плюс *.jsonl. В MCP-конфигах лежат токены от всего, к чему вы подключили агента. Злоумышленники это уже знают.

5. История и dotfiles.
.bash_history, .zsh_history, .psql_history, .mysql_history, .python_history, история pgcli, clickhouse-client. Плюс .bashrc, .zshrc, .profile, nohup.out, screenlog.*. Все ваши export TOKEN=... и psql postgres://user:pass@... здесь.

6. Переименовать файл не поможет.
Стилер грепает содержимое по префиксам: github_pat_, glpat-, sk_live_, hvs., dckr_pat_, ya29., xoxe-, npm_, pypi-, ASIA, eyJhbGciOiJIUzI1NiIs.... И по URL: jdbc:, amqps://, clickhouse://, Slack/Discord webhooks.

7. Локализация под нас.
Маски *пароль*, *доступ*, *учетн*данн*, *ключ*api*, *эксплойт*, *зиродей*, *зеро-дей*. Да, файл пароли_от_прода.txt тоже заберут.

8. Гребут и у коллег.
cobaltstrike.store, teamserver.prop, .sliver-client, havoc.yaotl, msfconsole.rc. Пентестеры и рэдтим на VPS тоже в скоупе.

9. Остальное.
Огромный блок под криптокошельки (лимит 200 МБ на файл против 256 КБ на обычные), браузерные Login Data/Cookies, VPN (wg*.conf, AmneziaVPN.conf, xray.json), SAM/ntds.dit, телеком (open5gs.yaml, kamailio.cfg). Шум грамотно отрезан: node_modules, .venv, lock-файлы, логи, бинари. Писали не на коленке.

Это не криптостилер, это разведка под атаку на инфраструктуру клиентов. Посмотрите на приоритеты:

Контент-скан по префиксам почти целиком про инфру и SaaS: GitHub, GitLab, Vault, Docker Hub, GCP, AWS, Slack, Stripe, npm, PyPI. Крипты там пара RPC-эндпоинтов.
known_hosts, authorized_keys, ssh_config, .cloginrc, router.db, nodes.csv, startup-config, mikrotik.rsc. Это карта, куда двигаться дальше.
kubeconfig, tfstate, CI-секреты, облачные креды. Это ключи от прода, а не от VPS.

Кошельки зацепили по пути, по принципу ну вдруг. Блок с ID браузерных расширений и иранскими биржами (nobitex, zarinpal) выглядит как стандартный модуль, притащенный из готового стилера. Монетизация на сдачу.

То есть VPS был точкой входа. Цель: всё, к чему ваш VPS имеет доступ.

Разбор от вендора был telemetr.me/tech_b0lt_Genona/7226 по ситуации с VMmanager, теперь разбор от хостинга

Постмортем — атака на FirstVDS 17.10.2026
https://firstvds.ru/blog/postmortem-ataka-na-firstvds-17102026

17 октября 2026 года мы обнаружили компрометацию платформы управления виртуализацией VMmanager 6, разработанной ISPsystem. Злоумышленник получил административный доступ к панели и использовал её штатные функции для запуска сборщика данных на узлах виртуализации. Сборщик подключал диски клиентских виртуальных машин в режиме только для чтения и копировал выбранные файлы, включая пароли, ключи, токены и конфигурации. Он работал на гипервизорах и не требовал запуска программы внутри клиентских ВМ.
...
23 октября. ISPsystem выпустил очередные обновления безопасности VMmanager. К этой дате мы сменили пароли всех учётных записей VMmanager — от пользовательских до административных.

Файловые метки указывают, что сбор данных начался примерно за 22 часа до обнаружения инцидента. Точное время первоначального проникновения не установлено. В ходе нашей проверки следов присутствия злоумышленника до 17 октября не обнаружено.
...
Команда располагает бинарным файлом стиллера и исследовала его в доступном объёме. Анализ образца и параметров запуска из плейбуков управляющего сервера платформы позволил установить маски имён и расширения файлов, отбиравшихся для включения в дампы. В изученной команде запуска категории сбора и ограничение размера файлов не переопределялись; дополнительные маски отбора не задавались. По справке программы, набор категорий по умолчанию включает секреты и учётные данные, данные криптокошельков, пользовательские файлы и каталоги, системные настройки, данные Tor и историю команд. Исследованный стиллер выборочно копировал файлы с дисков клиентских ВМ, не создавая полных образов дисков. Дампы оперативной памяти ВМ этим инструментом не создавались.

Действие, заданное после завершения сборщика, отправляло уже сформированный архив на сервер злоумышленника; команд дополнительного сбора данных оно не содержало. На каждом обследованном узле найдено не более одного дампа стилера. По исследованным плейбукам и обнаруженным артефактам признаков дополнительного извлечения данных из клиентских ВМ за пределами установленного сценария сбора не выявлено. При этом количество сохранившихся дампов само по себе не исключает других операций с данными.

Найденные архивы сохранились, но зашифрованы ключом злоумышленника. Ключа расшифровки у нас нет. Анализ бинарного файла и известные параметры запуска позволяют установить правила отбора, однако проверить точный перечень фактически скопированных файлов по каждой ВМ по содержимому архивов невозможно; для архивов доступны размеры и файловые временные метки.

Архивы сборщика обнаружены на 457 узлах виртуализации — физических серверах, размещающих клиентские ВМ. Это количество узлов, а не клиентов или виртуальных машин: на одном физическом сервере работают ВМ разных заказчиков.

Суммарный размер найденных архивов составляет 117,24 ГиБ, или около 126 ГБ. Это объём файлов, обнаруженных на узлах. Он не устанавливает объём данных, фактически полученных злоумышленником.
...
На одном из управляющих серверов VMmanager также обнаружен архив базы панели управления. Он учитывается отдельно от зашифрованных архивов сборщика на узлах. База панели управления содержит данные учётных записей и сведения, связанные с доступом к виртуальным серверам; соответствующие пароли, ключи и токены рассматриваются как скомпрометированные. Персональных данных клиентов в базе VMmanager не было.

Биллинг, личный кабинет, платёжные данные, инфраструктура резервного копирования и другие системы, где хранятся персональные данные клиентов и сведения об их услугах, не управляются через VMmanager и инцидентом не затронуты.
...
Журналы прокси подтверждают соединения с сервером злоумышленника. Однако используемый формат журналов прокси-сервера учитывал размер ответа клиенту и не содержал достаточных данных для расчёта объёма отправленных данных. При семплировании объём трафика в NetFlow рассчитывается на основе выборочного учёта пакетов с последующей экстраполяцией на весь поток. Поэтому полученные значения являются статистической оценкой и могут отличаться от фактического объёма переданных данных. Подтвердить или опровергнуть полную передачу всех подготовленных архивов невозможно.

Для оценки последствий мы исходим из передачи данных всех виртуальных машин, которые в период сбора находились на узлах с обнаруженными архивами, кешами или индексами. Это основание для уведомления клиентов и смены учётных данных. Такая оценка не означает доказанного копирования всех файлов или полного диска каждой ВМ.

Для узлов, на которых не обнаружены ни каталоги дампов, ни связанные вредоносные процессы, мы принимаем рабочую оценку отсутствия передачи данных. Отсутствие этих признаков само по себе не подтверждает отсутствие иных последствий компрометации.
...
Инцидент не считается закрытым. Завершение восстановления связано с проверкой установленного исправления, устранением выявленных способов сохранения доступа, отзывом скомпрометированных учётных данных и контрольным обследованием систем.
...
Прямой публичный доступ клиентов к VMmanager восстанавливать не планируем. Управление серверами будет предоставляться через личный кабинет. О сроках и доступных функциях сообщим отдельно.

За ссылку спасибо подписчику

Также подписчик принёс в личку файл с паттернами, которые копировал вредносный скрипт. Положу его в комментарий. Сам скрипт найти мне не удалось.

Атака на VMmanager 6 Hosting — разбор инцидента и хронология расследования
https://www.ispsystem.ru/news/post-mortem

19.10.2026 в 16:00 (МСК) в ходе расследования мы установили, что злоумышленник проникал на серверы с использованием контрабанды HTTP-запросов (HTTP Request Smuggling). Для этого использовалась ранее неизвестная 0-day уязвимость в нашем сервисе, а особенность nginx пропускать такие запросы делала ее эксплуатацию возможной. В систему отправлялся HTTP-запрос на установку websocket-соединения с телом. По RFC такое поведение со стороны клиента не рекомендуется, nginx пропускает подобные запросы, и это открыло возможность использования контрабанды HTTP-запросов.

В NGINX, начиная с версии 1.31.5 от 2 сентября 2026 года, появилась директива client_body_early_read, позволяющая легко и удобно настраивать блокировку подобных запросов как для HTTP/1.1, так и для HTTP/2 (к счастью, HTTP/3 мы не используем). К сожалению, в stable-версии nginx на текущий момент (1.30.6) эта директива еще не поддерживается. Безусловно, найденная особенность работы nginx не снимает с нас ответственности за возникновение инцидента, однако мы крайне рекомендуем учитывать ее, если вы используете это решение в своей инфраструктуре.

Это привело к тому, что сервис, к которому обращается злоумышленник, запрос отвергает, но при этом не вычитывает его тело, а поскольку запрос содержит keep-alive, читает полученное тело как новый запрос. Для обычных запросов при передаче их из nginx в сервис (proxy_pass) мы со своей стороны использовали дополнительные Connection: close, что не позволяет обманывать систему подобным образом, но для websocket этого делать нельзя.

Это и позволило злоумышленнику выполнить запрос внутри системы с административными привилегиями. Внутри сети docker наши службы помечают внутренние запросы специальным HTTP-заголовком, который снаружи не принимается (nginx, используемый как frontend, этот заголовок не пропускает). Но из-за того, что nginx второй запрос воспринимал как тело первого, он никак не анализировал и не менял его.
...
23.10.2026 выпущены обновления безопасности для всех продуктов экосистемы: VMmanager 6 — stable v2026.05.2-12, regular v2026.09.1-8; DCImanager 6 — stable v2026.09.2-2, regular v2026.09.1-6; BILLmanager 6 — stable v6.154.5, regular v6.157.3; DNSmanager 6 — v6.5.2. Подчеркнем: эти обновления представляют собой дополнительные меры защиты, внедренные по результатам анализа методов атаки, и направлены на усиление безопасности экосистемы в целом — в том числе от векторов, которые в ходе инцидента не применялись. Также включают обновление компонентов nginx с устранением известных уязвимостей CVE-2026-15176, CVE-2026-97205, CVE-2026-93479.

После установки патча от 19.10.2026 случаев компрометации инфраструктур, применивших обновление, не зафиксировано.
...
На данный момент в ходе совместного с провайдерами расследования инцидента было установлено, что атака повлекла за собой угрозу безопасности пользовательских данных, включая потенциальную утечку SSH-ключей, паролей доступа, токенов доступа к облачным сервисам, конфигурационных файлов, истории вводимых команд, криптокошельков и пользовательских документов. Для части конечных клиентов инцидент обернулся временной недоступностью сервисов, вызванной необходимостью проведения экстренных технических работ и принудительной изоляции скомпрометированных нод. В результате анализа инцидента на узлах было обнаружено специализированное вредоносное ПО, занимающееся сбором данных. Вместе с тем мы не можем ни подтвердить, ни опровергнуть объем и сам факт передачи данных. Поэтому ряд провайдеров оценивает ситуацию консервативно и считает де-факто данные скомпрометированными. Мы считаем данный подход обоснованным.
...
Важная информация для пользователей лицензий VMmanager Infrastructure и VMmanager Infrastructure (версия ФСТЭК): мы подготовили дополнительные меры усиления безопасности платформы на основании данных анализа инцидента и рекомендуем произвести установку выпускаемых патчей по мере их выхода.

Не знали чем заняться в воскресенье вечером? 😏

Как на счет узнать:
Как построить сильную команду ИБ и перестать делать всё самому?

В этом выпуске Георгий Руденко, CISO крупного банка, рассказывает, как выстраивать отношения с бизнесом, договариваться о ресурсах, нанимать людей и делегировать задачи, сохраняя контроль над результатом.

Обсудили, почему нельзя постоянно «продавать страх», какую ценность безопасность приносит компании помимо защиты от угроз и почему даже сильный технический специалист может не подойти команде. Поговорили о микроменеджменте, ошибках начинающих руководителей, доверии и решениях, которые нельзя делегировать.

Приятного просмотра 🍿
📹 Youtube

Предыдущий выпуск: telemetr.me/ever_secure/1347

👀@ever_secure | 💪 Обучение | 💳Поддержать

Так снимают солнечный день в Спб 🤣️️️️

🙄️️️️️️Свежие дыры в ядре Linux случайно выложили на всеобщее обозрение

Zero Day Initiative от Trend Micro отправила отчёты о новых уязвимостях ядра в публичную рассылку LKML, вместо закрытой рассылки на безопасников 🤣️️

Большая часть дыр в основной ветке ядра ещё не закрыта. Где-то патчи только тестируют или держат в ветках «-next».

Грег Кроа-Хартман, второй человек в разработке ядра, на каждое письмо спросил, почему оно попало в открытую рассылку.🤔

Что утекло:
🔻 SMB Direct: удалённое выполнение кода из-за целочисленного underflow, CVSS 9,0;
🔻 KSMBD, встроенный в ядро SMB-сервер: состояние гонки, тоже удалённое выполнение кода и тоже 9,0;💀
🔻 skb_zerocopy в сетевом стеке, драйвер VMware-графики VMWGFX и обработка TCP-запросов search-domain: локальное повышение привилегий;
🔻 NVMET: раскрытие информации из-за неинициализированного ресурса.

☝🏻По сути, атакующие получили готовую карту: где искать и что ломать. При этом заплаток у большинства пользователей ещё нет.

👀@ever_secure | 💪 Обучение | 💳Поддержать

Just found a zero day

If you right click on an executable on Windows, select run as administrator, it will run as administrator

I'm calling it Program2Shell