Хостинг-провайдер Beget сообщил 11 ноября, что за текущий день восстановил работу более 18 тысяч сайтов. К системе восстановления из резервных копий подключены 66 серверов, и компания продолжает увеличивать их число.
Это новый этап ликвидации последствий атаки, а не новый инцидент. Кибератака произошла в ночь с 1 на 2 ноября. По официальной хронологии Beget, к 21:30 мск 10 ноября провайдер восстановил 33 тысячи сайтов. Общий срок завершения работ и число ресурсов, которые пока остаются недоступными, не указаны.
Восстановление каждого сервера виртуального хостинга проходит в четыре этапа. Сначала Beget включает оборудование, устанавливает операционную систему и настраивает сеть. После этого сервер уже отвечает на запросы, однако сайты на нём ещё не работают.
Читайте также
Затем провайдер разворачивает своё программное обеспечение и необходимые сервисы, загружает данные из резервной копии, восстанавливает настройки виртуальных хостов и снова привязывает домены. На одном сервере могут размещаться тысячи сайтов.
Чтобы ресурсы возвращались быстрее, Beget изменил порядок работ. Теперь конкретный сайт начинают настраивать сразу после появления его данных на сервере, не дожидаясь окончания копирования остальных файлов. Резервные копии загружаются параллельно в несколько потоков.
Согласно официальной хронологии, злоумышленники получили доступ к управляющим системам инфраструктуры около 02:00 мск 2 ноября, а в 02:30 мск запустили вредоносное ПО для удаления данных. В 02:55 провайдер отключил все серверы от сети, чтобы остановить распространение атаки.
Последствия затронули не только виртуальный хостинг. BleepingComputer со ссылкой на компанию сообщил, что облачную инфраструктуру пришлось создавать заново. Данные VPS, S3 и Kubernetes были утрачены, а файловые резервные копии VPS сохранились лишь частично. Перед возвращением оборудования в сеть Beget также проверяет около тысячи серверов на уязвимости и скрытые вредоносные программы.
Для владельца сайта существенен статус самого ресурса, а не только сервера: ответ на сетевой запрос означает завершение лишь первого этапа. Домен и сайт могут заработать позднее, после загрузки данных и восстановления конфигурации.
