Rus barındırma şirketi Beget'e saldırı, bulut sunuculardaki veriler silindi

Rusya’nın en büyük barındırma (hosting) şirketlerinden ve alan adı kayıt firmalarından Beget, 1 Kasım’ı 2 Kasım’a bağlayan gece altyapısına siber saldırı yapıldığını açıkladı. Şirketin 3 Kasım’da Telegram kanalında yayımladığı açıklamaya göre saldırganlar bütün mimariyi yöneten katmana erişti ve ardından verileri silen betikler çalıştırdı. Beget 2 Kasım’da müşterilerine, saldırının sözleşme yükümlülüklerinin bir kısmını yerine getirmesini geçici olarak engellediğini ve durumun mücbir sebep niteliği taşıdığını bildirdi. The Record’un aktardığı Kommersant verilerine göre Beget, Rusya’da .RU alan adlarının yaklaşık yüzde 14,7’sini yöneterek bu alanda ikinci sırada.

Kaybolan ve korunan veriler

Beget’in 3 Kasım’daki açıklamasına göre:

• Bulut altyapısında, yani sanal sunucular (VPS), S3 nesne depolama ve Kubernetes hizmetlerindeki bütün veriler kayboldu. CDN ve IP ayarları da kayboldu.
• Sanal sunucuların disk görüntüsü (binary) yedekleri tamamen kayboldu. Dosya düzeyindeki yedekler ise duruyor ve veriler bunlardan geri getirilebilir. Şirket kaybolan verileri kurtarmanın yollarını aramaya devam ettiğini belirtiyor.
• Paylaşımlı barındırmadaki (shared hosting) sitelerin ön değerlendirmeye göre neredeyse tamamı geri getirilebilecek.
• Alan adları güvende. Beget, süresi dolan .ru, .рф ve .su alan adlarının yetkisinin kaldırılmaması için bu alanların yöneticisi Koordinasyon Merkezi ile anlaştı.

Beget’e göre kullanıcı verisi bulunan sunucularda verilerin indirilmeye ya da değiştirilmeye çalışıldığına dair bir iz görülmedi. Şirket yine de kullanıcıların sunucularda saklanmış olabilecek bütün parola, erişim anahtarı ve diğer kimlik bilgilerini değiştirmesini öneriyor. Beget, soruşturmaya ve altyapının güvenli biçimde yeniden başlatılmasına zarar verebileceği için ayrıntıları paylaşamadığını belirtiyor.

Onarım

Beget’e göre her sunucunun gizli açıklar ve zararlı betikler için tek tek kontrol edilmesi gerekiyor ve 1.000’den fazla sunucu elle inceleniyor. Şirket sunucuları önyükleme diskinden açıp zararlı mekanizmalardan temizlediğini, veri bütünlüğünü kontrol ettikten sonra yeniden çalıştırdığını açıkladı. 4 Kasım’daki güncellemeye göre paylaşımlı barındırma sunucularının yüzde 35’i ve Beget’in yönettiği özel sunucuların yüzde 15’i yeniden çalışıyordu. Müşterilerin kendi yönettiği özel sunucuların hepsi 2 Kasım’da yeniden açılmıştı. Kontrol paneli henüz açılmadı.

The Record’a göre saldırı, işletmelerin, kamu kurumlarının ve araştırma kurumlarının sitelerini etkiledi. Yerel basına göre etkilenenler arasında Naryan-Mar belediyesinin sitesi ve Rusya’nın ürün etiketleme sistemi Chestny Znak var. Beget saldırganların ilk erişimi nasıl sağladığını açıklamadı ve The Record’a göre saldırıyı üstlenen bir grup olmadı.