🚨 Апокалипсис VMmanager, день третий.

История с дырявым гипервизором VMmanager 6 и взломом FirstVDS обрастает новыми подробностями. Если кто думал, что вендор за это время героически дропнул патч и всё починил - у меня плохие новости.

В оф. канале FirstVDS выкатили примерно такой апдейт:

Патча нормального нет, костыли от ISPsystem доверия не внушают, поэтому мы просто делаем полное закрытие доступа к панели управления виртуализацией для пользователей.

Контора приняла единственно верное, суровое сисадминское решение... нет сервиса - нет уязвимости. Доступ к панели виртуализации для юзеров закрыт. Сейчас они переписывают API, чтобы базовые кнопки (ребут, реинсталл) дергать прямо из самописного личного кабинета. Моё почтение за радикальность 🎩 Лечить сифилис отсечением органа - метод жесткий, но надежный.

А теперь самая мякотка для тех, кто сейчас грепает auth.log внутри своих виртуалок и радуется, что там чисто.

Чуваки, внутри ваших ОС следов и не будет. Хацкеры не ломали ваши убунты и дебианы по SSH. Они пробили саму железку, где крутится гипервизор, после чего скриптом просто подмонтировали образы ваших дисков в ридонли.

Злоумышленники тупо прошлись пылесосом по ФС:
🟢Стянули файлы конфигураций.
🟢Выгребли SSH-ключи (привет всем, кто хранит приватники без пароля).
🟢Забрали токены, bash_history (ох уж эти пароли от рута прямым текстом в консоли).
🟢И, конечно же, вынесли wallet.dat и прочие файлы криптокошельков, если они были.

Посмотрите на скрин. Как только злоумышленники получают доступ или нащупывают дыру, в дело вступают сканеры. На скрине видно, как некий бот с IP 35.240.58.49 (гугловское облако, локация Брюссель) долбится во все возможные вариации файлов окружения: /cms/.env, /config/.env, /laravel/.env.

Зачем им .env 🤔? Да потому что это святой грааль современного веба, ведь именно там ленивые разрабы хранят доступы к мастер-базам данных, ключи от хранилищ, токены интеграции с платежками и секретные хэши для кукисов. Один такой скачанный файлик - и хацкер уносит всю инфру.

Google Cloud тут выступает тупо как удобный прокси\ВПН для ноды, с которой летит брутфорс. Удобно, дешево, и Гугл абузы обрабатывает годами.

Поэтому:
🟢 Если ваша виртуалка жила на скомпрометированной ноде (а FirstVDS разослал письма) - считайте, что ваш диск склонировали целиком.
🟢 Нужно перевыпускать вообще все токены, которые лежали на сервере текстом. Отзывать ключи в GitHub, менять доступы к БД, убивать старые сессии.
🟢 Если у вас утекли персональные данные юзеров из-за этой дыры - можете начинать готовить вазелин для общения с РКН, потому что по 152-ФЗ виноваты будете вы, а не хостер.

Эпоха доверяй но проверяй закончилась. Наступила эпоха зеро траст.

Берегите свои .env, глупцы. 👍

Типичный 🥸 Сисадмин

👨‍🦳 Посмотрим на масштабы потенциальной жопени, которая опять нависла над рунетом из-за VMmanager 6.

Мы сейчас наблюдаем только верхушку айсберга. FirstVDS просто первым поймал маслину и открыто об этом заявил.

Изначально VMmanager это детище ISPsystem (которую пару лет назад купила "Группа Астра" за 2,5 ярда). Изначально панелька пилилась чисто под хостинг-провайдеров, а потом эффективные менеджеры решили.... а давайте начнем продавать это в энтерпрайз! 🤑

Архитектурная проблема всего этого в том, ИМХО, что под капотом и у публичной (хостинговой), и у корпоративной версии лежит общая кодовая база. А значит, зияющая дыра размером с ангар, через которую выносят базы данных, с вероятностью 99,9% присутствует в обеих редакциях. Но это не точно, а так - гипотеза 🤔, поправьте если не так.

За эти дни к FirstVDS в клубе анонимных потерпевших присоединились еще несколько провайдеров. Smart Ape, MHost, YaColo, ForestsNet Cloud - все они уже подтвердили аналогичную вредоносную активность. Эксплойт явно пошел по рукам.

Чекнем тех, кто потенциально тоже сидит на пороховой бочке... открываем сайт ISPsystem и смотрим раздел "наши клиенты":
🟢PSB Hosting - обслуживает более 10 000 виртуалок.
🟢4VPS - более 27 000 машин.
🟢А еще VPS.one, OBLAKO.RU и прочие.
Если эксплойт долетит туда, количество утекших ключей, .env файлов и крипты...😱

Но и это еще не всё. По импортозамещению продукты Астры активно ставили в госсектор и крупняк.
В списках клиентов числятся много кто. Но всё же там КИИ, закрытый контур и вроде как панели не торчят наружу. Однако же местным админам нужно понимать, что стоит злоумышленнику пробить периметр через фишинг бухгалтерши, забытый туннель или уязвимость в каком-нибудь почтовике - и он оказывается внутри корпоративной сети. А там его уже ждет дырявый VMmanager 6.

Если вы админите в конторе, которая юзает VMmanager 6 в закрытом контуре - не расслабляйтесь. Обложите сервер правилами так, чтобы к нему можно было подключиться только с одного выделенного IP-адреса, и то после ритуального жертвоприношения 🍺

Русская рулетка с гипервизором продолжается. Патча, напомню, в нормальном виде всё ещё нет.

Типичный 🥸 Сисадмин

🍻 Дедушке хардкора 60! Выпьем не чокаясь за нервные клетки, оставленные в Slackware.

Сегодня (чуть не пропустил повод 🙂), 20 октября 2026 года, свой 60 lvl разменял динозавр и икона опенсорса - Патрик Фолькердинг, он же просто The Man.

Для зумеров, которые сегодня деплоят кубернетес в два клика и грустят, когда npm install выдает варнинг, поясню. Патрик это создатель Slackware, старейшего из ныне живых дистрибов Linux (живет с 1993 года).

В конце 90х и начале нулевых Слака была не просто операционкой. Это был обряд инициации, по сути как цифровая Спарта 👸, со скалы которой сбрасывали слабых духом виндузятников.

В те годы даже ходила поговорка:

Если ты знаешь Ubuntu - ты знаешь Ubuntu. Если ты знаешь Slackware - ты знаешь Linux.

Патрик подарил нам философию KISS (Keep It Simple, Stupid) в её самом радикальном, садистском проявлении. Слака не прощала ошибок. Она брала тебя за жопу и тыкала носом в мануалы, заставляя понимать, как именно работает система.

В Слаке по дефолту не было автоматического разрешения зависимостей. Пакетный менеджер просто распаковывал архив. Тебе нужна прога? Она требует библиотеку lib_foo. Ты качаешь lib_foo, а она требует lib_bar. И ты сидишь, красноглазишь до пяти утра, собирая эту матрешку из исходников руками. О, еще эта легендарная утилита xf86config... выставить правильные тайминги и частоту развертки монитора руками в текстовом конфиге! 🤙

Патрик до последнего держал оборону против свистоперделок, корпоративного зондирования и systemd. Slackware это как старый дедовский УАЗик... комфорта ноль, руль хрен свернешь, но заведется даже в ядерную зиму и проедет по любому говну.

Патрик Фолькердинг это живой памятник той самой, ушедшей эпохе романтичного ИТ. Эпохе, когда Линукс был уделом бородатых гиков в свитерах с оленями, а не нынешней корпоративной дойной коровой бигтеха для обучения ИИ. Он не продался корпорациям, не ушел в крипту, а просто 30 с лишним лет сидел и пилил свой дистрибутив для таких же энтузиастов.

Поднимем же напитки! Долгих лет жизни, Патрик. И спасибо за то, что научил немало админов не бояться консоли.

Типичный 🎂 Сисадмин

Угол ноутбука был сломан из-за падения. Немного клея и наждачной бумаги - на ощупь довольно приятно. Осталось подкрасить черным маркером и как новый 🎩

Типичный 🥸 Сисадмин

QA митап: про агентов, деньги и эволюцию QA

Как оценивать ИИ-агентов, не разориться на токенах и понять, куда движется профессия тестировщика? Соберемся без пафоса, на практике разберем будущее.

В программе:
🔘Eval будущего для агентов
Как Eval'ы работают сейчас, какие у них проблемы и что будет завтра.
🔘Token FinOps: как инженеры перестают быть расходной статьей
Откуда берутся расходы на LLM и как их срезать в три раза без потери качества.
🔘Панельная дискуссия: трансформация роли тестировщика и куда это все идет
Какие навыки остаются в цене, а какие уходят в прошлое.

Где и когда:
27 октября, 18:00
Офис Сбера на Кутузовском 32 + онлайн
Формат: очно или онлайн - выбирай, как удобнее.
Регистрация

Конференция по новым компьютерным технологиям и защите компьютерных программ 🌟

Типичный 🥸 Сисадмин

MemOps 😃

Домоооой 👍
#предложка

Типичный 🥸 Сисадмин

Когда спросил пользователя, пробовал ли он перезагрузить компьютер перед тем, как звать на помощь. Говорит, что только что это сделал. Классика 🏥

Типичный 🥸 Сисадмин

Доставка доставочка.
#предложка

Дополнительный приток воздуха из новых зазоров 🙂

Типичный 🥸 Сисадмин

Быстрофикс 👨‍🦳

Типичный 🥸 Сисадмин

Сервер предприятия. Чисткой и обслугой никто, никогда не занимался.
#предложка

Типичный 🥸 Сисадмин