НеИБи

Хакеры взломали хостинг-провайдера FirstVDS через уязвимость в VMmanager 6, системе управления виртуализацией от ISPsystem (ГК «Астра»). На части узлов они запустили стилер, который подключал диски клиентских VDS и копировал с них SSH-ключи, API- и облачные токены, конфиги, историю команд, криптокошельки и пользовательские файлы. Всё уходило на сервер атакующих. Диски монтировались только на чтение, поэтому ничего не сломалось, и клиенты могли вообще ничего не заметить. FirstVDS пострадал не один: о взломе предупредили сразу несколько хостеров, среди них ForestNet Cloud, MHost, HSH Network и YaColo. По данным ForestNet, заражение шло с 11 по 16 октября, а активная фаза пришлась на ночь на 17-е. Главное здесь не масштаб, а уровень атаки. Взломали не сервер, а то, что над ним. Внутри гостя не было ни процесса, ни логина, ни сессии: EDR молчит, auditd пуст, сайт работает. Всей защиты, которую клиент честно собрал в своей ВМ, для management plane просто не существует. Поэтому смена пароля от VDS ничего не даёт. Всё, что лежало на диске, считаем утекшим и перевыпускаем, включая доступы, которые этот сервер открывал дальше: репозитории, облака, бэкапы, CI. Хостер становится точкой входа в supply chain собственных клиентов. Вендор пока выглядит так: CVE нет, затронутые версии не названы, IoC не опубликованы. Патчей уже несколько, промежуточный 18-го и ещё один в ночь на 19-е. Но на 20 октября дыра закрыта не полностью, и клиентский доступ к панели FirstVDS держит закрытым «скорее всего, надолго». «Астра» говорит об уязвимости «в одной из сборок» и число пострадавших не раскрывает. При этом в 2025 году на сайте группы значилось 6000+ серверов под VMmanager. Когда продаём, цифра есть. Когда течёт, без комментариев. Отдельно смешно, что VMmanager входил в скоуп багбаунти «Астры»: больше 3 млн рублей за 120+ отчётов, грубо 25 тысяч за находку. Эту нашли не багхантеры. Эксперты советуют убрать панель гипервизора за VPN и MFA. Для корпоративной инсталляции совет верный. Но у хостера панель и есть продукт: через неё клиент управляет своей машиной. Импортозамещение гипервизоров у нас обсуждают как вопрос логотипа на панели. Настоящий вопрос в другом: кто ещё может дотянуться до вашего диска. В multi-tenant ответ всегда длиннее, чем хотелось бы. @antiinfosec

$50 за агента-хакера Исследователь NorForge Снорре Фагерланд искал в сети открытые админки Cairn — мультиагентного харнесса, который стал популярен среди хакеров. Многие операторы оставили свою админку без пароля, и через неё Фагерланд наблюдал, как один китаеязычный хакер почти всю работу переложил на агентов. С 25 сентября они били по интернет-магазинам в США, Канаде, Японии и Австралии, попробовали больше 1 200 сайтов и больше сотни взломали. Поток задач был автоматизирован: цели отбирали по трафику и прогоняли через Playwright, чтобы проверить, принимает ли сайт заказы, а дальше отдавали агентам. Задачу ставили коротко: найти способ выполнить код на сайте и оставить веб-шелл для загрузки файлов. Смысл, по оценке NorForge, в том, чтобы закрепиться в магазине и платежах надолго, про запас. Один заявленный взлом Фагерланд проверил: по указанному в задаче адресу у крупного поставщика автозапчастей и правда висел рабочий веб-шелл. Фагерланд, почти тридцать лет в отрасли, был впечатлен. В одном случае агенты не нашли дыру в публичном приложении компании, вышли на связанную с ним панель управления и после долгого перебора заставили сервер выполнить команды. Раньше он думал, что агентам-взломщикам нужен хотя бы минимальный присмотр человека, теперь видит, что нет. «Это не уровень скрипт-кидди», сказал он Reuters. По имени воркера claudecode_deepseek-v4.1-flash NorForge предполагает связку Claude Code с дешевой моделью DeepSeek V4.1 Flash. Одно успешное проникновение занимало в среднем чуть меньше 23 часов. Всю кампанию Фагерланд оценил примерно в $5 000 за токены, то есть около $50 за взлом. ИИ-взломами нас пугают давно, и до недавнего времени скепсис был оправдан: в отчетах об «ИИ-атаках» за громкими словами обычно пряталась автодополнялка для скриптов или чат-бот, сочиняющий фишинг. Эта ласточка не первая и уже не похожа на прежние. В сентябре Gambit нашла агентов, укравших под 600 тысяч карт у 25 компаний. О вторжениях агентов в боевые системы заявили Тайвань и Индия. Теперь сотня взломанных сайтов с одной открытой админки, и это только те операторы, кто забыл пароль. Пока успех держится в районе 10%, а модели дешевые и ошибаются. Вопрос в том, что будет, когда перестанут. @antiinfosec

Роутерам подобрали ключ без пароля Для взлома Wi-Fi пароль, как выяснилось, нужен не всегда. Исследователь Квентин Кайзер представил WPSplinter — уязвимость в программном обеспечении Broadcom, позволяющих атаковать роутеры по воздуху без знания ключа сети. Достаточно находиться в зоне радиосвязи. На проверенных устройствах исследователь продемонстрировал выполнение кода и получение пароля Wi-Fi. Проблема находится в фирменной реализации WPS — механизма упрощенного подключения к беспроводной сети. По данным Кайзера, уязвимый код присутствует в SDK Broadcom как минимум с 2010 года. В 2018 году компания выпустила неполное исправление, а затем предложила производителям перейти на другую реализацию. Но обновление программной платформы и обновление роутера у абонента, как обычно, оказались разными событиями. Кайзер подтвердил возможность атаки на оборудовании трех бельгийских провайдеров — Proximus, VOO и Orange. На одном устройстве он извлек пароль Wi-Fi, на другом получил командную оболочку с обменом данными непосредственно через беспроводные кадры. Масштаб потенциально затронутого парка в этих сетях он предварительно оценил примерно в 1,56 млн шлюзов, отдельно оговорив приблизительность расчета. По его сведениям, на 15 октября проверенные устройства оставались без исправлений. Для российской аудитории Broadcom, не просто вендор, который резко свернул свою деятельность в 2022 году. Все-таки его чипы используются, например, в отдельных моделях ASUS и TP-Link. Но объявлять уязвимыми все устройства этих марок пока рано. Проблема связана с конкретным программным компонентом и версией прошивки, а не просто с логотипом на микросхеме. По опубликованной переписке, Broadcom считает проблему давно известной и указывает, что несколько лет предлагает заказчикам ПО без этой уязвимости. Кайзер, в свою очередь, сообщает, что компания отказалась присваивать ей CVE и публично уведомлять о ней. Получается, история не столько про внезапный 0day, а про уязвимость уровня наследия. Не будем призывать вас залезать в свои роутеры и искать надпись на чипе. Но вот проверить обновления прошивки лучше стоит. @antiinfosec