Вернуться к статьям Чем чтение диска отличается от взлома VPS
19 октября 2026 года FirstVDS сообщил, что панель VMmanager пока остаётся закрытой, хотя провайдер уже установил очередное исправление. Состояние панели и состояние вашего VPS нужно оценивать отдельно. Во время атаки данные читали со стороны узла виртуализации, поэтому журнал входов VPS не отражает чтение диска. По самому VPS и внешним сервисам можно проверить, использовал ли кто-то скопированные доступы. Обновление FirstVDS от 19 октября
| Что обнаружили | Как действовать |
|---|---|
| В уведомлении указан VPS, признаки посторонних изменений пока не найдены | Отозвать затронутые доступы. Сверить журналы входов и действий в сервисах, секреты которых хранились на машине. |
| В журнале есть незнакомый вход с правами администратора | Проверить адрес и время по журналам и согласованным работам. Если вход подтвердился как посторонний, изолировать VPS и готовить чистую машину. |
| Появился чужой SSH-ключ, неизвестная системная служба или изменился код сайта | Сохранить следы и установить масштаб изменений. Если нельзя подтвердить целостность системы, переносить приложение на чистую ОС. |
Если после инцидента в authorized_keys у администратора появился ключ неизвестного владельца, проверьте, кто и когда изменил файл. Сравните его с сохранённой версией и установите, какие ещё настройки изменились за это время. Что проверить на VPS после атаки FirstVDS
Что сохранить до переустановки
Если видите признаки активного доступа, согласуйте изоляцию сразу. Ограничьте входящий и исходящий трафик так, чтобы машина не могла обращаться к рабочим системам. Сохраните журналы SSH, приложения и панели, время событий и сведения о подозрительных процессах. При необходимости попросите специалиста снять копию диска для разбора. Храните её отдельно с ограниченным доступом. Когда важны данные из оперативной памяти, порядок выключения или перезагрузки согласуйте со специалистом по расследованию. Руководство CISA по реагированию на инциденты
Как собрать новый сервер
- Установите ОС из доверенного образа. Обновите пакеты, ограничьте доступ и заново настройте окружение сайта по проверенной конфигурации.
- Выберите точку восстановления. Сопоставьте дату копии с самым ранним известным признаком посторонних действий. Проверьте содержимое на изолированном сервере. Если начало взлома неизвестно, сверьте код с доверенной версией из репозитория и отдельно проверьте загружаемые файлы и данные.
- Перенесите проверенные данные. Импортируйте базу, восстановите нужные файлы сайта и подключите новые секреты. Системные задания, учётные записи и ключи доступа создайте заново по проверенному списку. Какие пароли, ключи и токены менять после атаки
Когда возвращать сайт и фоновые задачи
Проверьте сайт до переключения трафика. Оставьте очереди, задания по расписанию и автоматические отправки выключенными, пока не сверите остаток задач и состояние интеграций. Иначе две машины могут одновременно забрать одну заявку или отправить одно письмо. Перед запуском фоновых задач убедитесь, что у каждого обработчика осталась одна активная копия и что старый VPS не сможет продолжить работу.
Если новая машина у другого провайдера, заранее определите, как переключить DNS и сверить заказы. Зафиксируйте время переключения и проверьте ошибки приложения, журналы доступа и состояние очередей после запуска. Проверить резервные копии и собрать список зависимостей заранее можно при обслуживании серверов и сайтов.