«Битрикс24» сменил секретные ключи части приложений после взлома FirstVDS
Изображение: OpenAI
«Битрикс24» 18 октября заменил секретные ключи OAuth для потенциально затронутых сторонних приложений из «Маркета» из-за атаки на хостинг-провайдера FirstVDS. Об этом компания сообщила на Хабре. Пока мера охватила 10 разработчиков, и компания допускает дополнительные отзывы ключей, а обновление ключей может повлиять на доступность их приложений.
Отзыв ключа не защищает данные, которые приложение уже сохранило на внешнем сервере: при его взломе злоумышленники могли скопировать их без новых REST-запросов к порталу. В «Битрикс24» подчёркивают, что превентивная замена ключей сама по себе не означает компрометацию конкретного приложения.
По сообщению FirstVDS, 17 октября атакующие использовали уязвимость в системе управления виртуализацией VMmanager 6. Вредоносная программа подключала диски некоторых клиентских виртуальных машин в режиме «только чтение» и копировала находившиеся на них файлы, в том числе с данными доступа. В гостевых системах она не запускалась, поэтому внутри них могло не быть явных следов атаки.
Об атаке сообщил и ForestsNet Cloud: следов кражи данных на своих узлах провайдер не нашёл, но исключить доступ не смог. «Группа Астра», в которую входит разработчик VMmanager 6 — компания ISPsystem, сообщила о выпуске исправлений и рекомендовала оперативно их установить. Расследование FirstVDS продолжается; по состоянию на 19 октября провайдер не раскрыл полный перечень затронутых версий.
Автоматическая замена ключей не охватила локальные приложения и входящие вебхуки: если серверная часть локального приложения или его данные доступа находились на потенциально скомпрометированном хостинге, компания советует изолировать сервер и отключить интеграции, удалить приложение для аннулирования токенов, проверить инфраструктуру, при необходимости перенести приложение в проверенную среду и перевыпустить все секреты и токены; если на таком сервере хранился URL входящего вебхука, нужно удалить прежний вебхук, проверить или перенести серверную среду и лишь затем создать новый вебхук и передать его URL в проверенную среду. VMmanager 6 могут использовать и другие хостинг-провайдеры, поэтому, если серверная часть приложения размещена у такого провайдера, «Битрикс24» рекомендует запросить у разработчика результаты проверки конкретного сервера, обслуживающего портал, и выяснить, какие данные там хранились. Само использование VMmanager 6 ещё не доказывает взлом. Администратор портала может сравнить число REST-запросов начиная с 17 октября с обычным уровнем в разделе «Приложения → Разработчикам → Статистика», где хранится история не более чем за 14 дней. Такая проверка подходит только для предварительного поиска аномалий: отсутствие всплеска не исключает использования доступа или утечки ранее сохранённых данных, а необычная активность сама по себе не доказывает атаку.
