Главная новость: Beget раскрыл механизм атаки и потери
SecurityLab, 16:20 сегодня— самое свежее и самое важное:
Атакующиевошли в управляющий контур всей архитектурыи запустилиобнуляющие скрипты.
Потеряно: данныеVPS, S3 и Kubernetes, бинарные резервные копии виртуальных серверов, настройки CDN и IP.
Наш случай — виртуальный хостинг — пострадал меньше:«восстановлению подлежатпочти 100% сайтов, размещавшихся на виртуальном хостинге».
Файловые бэкапы всего хостинга сохранились, но доступа к ним пока нет: перед запуском вручную проверяютболее 1000 серверовна скрытые уязвимости и вредоносные скрипты. Поэтому сроков и не называют.
DNS-серверы восстановлены полностью.И вот это важно: Begetоткрыл изменение записей A, MX и TXTдля доменов.ru ,.рф ,.su на своём DNS — «владельцы ресурсов уже могут перенаправить домены на другие адреса».
Почта:восстановлено ~80%, полный возврат — в течение 10 часов с публикации (то есть к ночи).
Ограниченный интерфейс панелиобещают в течение 24 часов.
Домены в безопасности: договорились с Координационным центром, чтобы истекающие не отключали.
Сдвиг большой —DNS полностью вернулся. Сервер за ним ещё нет.
Что изменилось с ночи
Блок кода
Было (22:37): Google -> SERVFAIL, наш резолвер -> 45.130.41.69
Стало (06:45): Google -> статус 0 (ОК!), 45.130.41.69
www.zhivoe-ai.ru -> 45.130.41.69
MX -> mx1.beget.com, mx2.beget.com
vashwwq9.beget.tech -> 5.101.152.78
Зона отдаётся полностью: и адрес сайта, и www, и почтовые записи. Два сервера имён из четырёх открыты ( 93.92.81.0 и194.113.245.0 ). Резолверы по всему миру теперь получают ответ — значит Beget свой DNS поднял.
Но веб-сервер с нашими файлами закрыт
Блок кода
45.130.41.69 443 — 80 — 22 —
три прохода за две с половиной минуты (06:49, 06:50, 06:52) — ни разу не открылся
Сторож в 06:38 записал честно: «имя есть, сайт не ответил». То есть сайт уже находят по имени, но соединение некуда ставить — сам сервер ещё поднимают.
Новых новостей нет
Проверил Яндекс — всё, что есть, от 2 ноября:
Официальный пост Beget воВКонтакте— тот же, от 16:01, с тех порновых обновлений не было.
Хабр,SecurityLab,Ведомости— «вчера».
chita.ru— перепечатка от 2 ноября.
Причину, форс-мажор и порядок восстановления уже знаем: кибератака, п. 3 ст. 401 ГК, приоритет NS-серверам, данные восстанавливают, сроков нет. За ночь новых заявлений не появилось —единственный измеримый признак прогресса это то, что DNS ожил.
Проверил. Сдвиги есть в DNS, а сервер пока не поднялся.
Наши дела — 22:37
Блок кода
DNS наш резолвер: zhivoe-ai.ru -> 45.130.41.69 (стабильно, шесть проверок подряд)
DNS Google: SERVFAIL
DNS Cloudflare: zhivoe-ai.ru -> таймаут; beget.com -> 178.248.236.146 (отвечает)
Сервер 45.130.41.69: 443 закрыт · 80 закрыт · 22 закрыт — 2 минуты наблюдения, ни разу не открылся
Сайт: таймаут
Сторож: жив=false, проверено 22:28, «имя есть, сайт не ответил»
Что продвинулось:домен у нас разрешается стабильно — адрес45.130.41.69 держится. Зонаbeget.com тоже отдаётся публичным резолверам.
Что нет:серверных портов нет ни одного. Сайтbeget.com отдаёт502 Bad Gateway— их фронт поднят, а бэкенд за ним ещё лежит.
Откат:в 19:04 сервер имён93.92.81.0 открылся и держался — сейчас, в 22:29, все четыре снова закрыты. То есть DNS включали, а он опять не отдаёт. Это не наша беда, а их незаконченное восстановление.
Новые новости
Официальных обновленийпосле 16:01 не было— пост Beget во «ВКонтакте» и его перепечатка на Хабре так и висят с отметкой «6 часов назад». Всё свежее, что появилось:
v1.ru / ngs.ru, 4 часа назад: «Хостинг Beget не могут полностью восстановить уже 15 часов. От хакерской атаки пострадали тысячи российских сайтов».
Ведомости, 5 часов назад: компания «приступила к восстановлению данных».
РИА Новости, 5 часов назад: компания сообщила, что атака «временно препятствует исполнению части обязательств».
Разбор по резервам:«Почему резерв Beget не спас клиентов»— там же указано, что в 11:31 2 ноября Beget заявлял о восстановлении работы сервисов; по факту, как видим, DNS снова лёг.
Главное из официального (16:01,SecurityLab) остаётся в силе: причина — массированная кибератака, объявлен форс-мажор по п. 3 ст. 401 ГК, приоритет — NS-серверы «4–5 часов», почта параллельно, восстановление данных «займёт продолжительное время», сроков полного запуска нет. Обещанные 4–5 часов на DNSне сбылись: с 16:01 прошло 6,5 часов, а серверы имён то открываются, то закрываются.
Что это значит
Наш сайт не отвечает по двум причинам сразу: DNS нестабилен у внешних резолверов, и сам сервер45.130.41.69 не поднят. Даже когда DNS отпустит — без сервера сайта не будет.
Ничего не потеряно: файлы лежат у Beget, к файловым резервным копиям у них доступ есть, локальная копия наших правок (49,4 МБ) на месте.
Сторож продолжает проверять каждые 10 минут и сам всё наведёт, когда сайт оживёт.
Сторож в 19:08 честно записал: «имя есть, сайт не ответил». То есть DNS вернулся, а веб-сервер с нашими файлами ещё не поднят.
Официальные новости — нашёл
Главное обновление Beget (16:01, 2 ноября), читал целиком наSecurityLab:
Причина — массированная кибератакана инфраструктуру в ночь на 2 ноября. Днём они называли это «крупным инцидентом» и говорили «проблема на всех уровнях архитектуры».
Объявлен форс-мажор— клиентам разослали уведомление, ссылаются на п. 3 ст. 401 ГК РФ.
Уже вернули: выделенные серверы, которые клиенты администрируют сами.
Главный приоритет — NS-серверы (DNS), восстановление «ориентировочно 4–5 часов с момента публикации обновления». Обновление в 16:01 → ориентир20:00–21:00. Наши наблюдения совпадают: серверы имён начали открываться около 19:00.
Параллельно восстанавливают почту.
Есть доступ к файловым резервным копиямподавляющего большинства ресурсов виртуального хостинга — но про базы данных в отчёте не сказано. Это важно для нас: наши аккаунты, форум и заказы живут в базе.
Восстановление данных «потребует продолжительного времени», точного срока полного запуска не называют.
Ранние подробности того же дня —первый материал SecurityLab: в 01:50 признали «крупный инцидент», в 05:23 сообщили, что инженеры вручную настраивают оборудование в дата-центрах, аверсию с БПЛА и с PHP компания отвергла.
Что это значит для нас
Хорошая новость: наши файлы попадают в «виртуальный хостинг», а к таким копиям у них доступ есть.
Тревожная: в отчёте говорят только офайловыхкопиях, про базу молчат. Если её не поднимут — форум, аккаунты, заказы и коды расширений придётся восстанавливать из их резервных копий уже отдельно, через поддержку.
Проверил. Впервые за 13 часов естьпризнак движения— но сайт ещё не встал.
Сайт: без изменений
Блок кода
16:29 DNS Google: zhivoe-ai.ru -> SERVFAIL
beget.com -> SERVFAIL
cp.beget.com -> SERVFAIL
Наш резолвер: zhivoe-ai.ru -> нет ответа (три попытки подряд)
Сторож: жив=false, проверено 16:28, «имя не разрешается»
Лежит с 03:00 —13,5 часа.
Но появилось движение в серверах имён
Следил за четырьмя серверами Beget каждые 20 секунд. Раньше все были глухи всё время, а сейчасодин из них начал открываться:
Блок кода
16:10:41 185.50.27.12:53 ОТКРЫЛСЯ (остальные закрыты)
16:13 185.50.27.12:53 закрыт (спросил его напрямую — не ответил)
16:18:26 все закрыты
16:20:11 все закрыты
16:21:56 185.50.27.12:53 ОТКРЫЛСЯ ← второй раз
16:23:34 все закрыты
16:25:18 все закрыты
16:27:03 все закрыты
185.50.27.12 — этоns1.beget.pro , один из их серверов имён. Порт то открывается, то закрывается, нозапросы пока не обслуживает: спросил его напрямую проzhivoe-ai.ru ,beget.com иvashwwq9.beget.tech — ответа нет.
Это значит:они уже поднимают DNS, но служба ещё не отвечает. Раньше не было даже этого.
DNS (Google, свежий запрос):
zhivoe-ai.ru -> SERVFAIL (status 2)
beget.com -> SERVFAIL
vashwwq9.beget.tech -> SERVFAIL
Наш резолвер: zhivoe-ai.ru -> ENOTFOUND
Сайты: https://zhivoe-ai.ru/ -> не отвечает
https://beget.com/ru -> EAI_AGAIN
Серверы имён Beget по-прежнему мертвы:
Адрес
Порт 53
93.92.81.0
закрыт
185.50.27.12
закрыт
194.113.245.0
закрыт
5.101.159.11
закрыт
Ни одна из четырёх машин не открыла порт — восстановление даже не началось на уровне DNS.
Лежит с 03:00 — 10,3 часа.Для сбоя DNS это очень долго; подтверждает, что у них проблема серьёзнее имён — вероятно, пострадало хранилище, и они поднимают сначала его.
Есть крупная новость — час назад Beget раскрыл, что именно потеряно.
Наш сайт — 17:18
Без изменений: имя разрешается, сервер закрыт.
Главная новость: Beget раскрыл механизм атаки и потери
SecurityLab, 16:20 сегодня — самое свежее и самое важное:
Сдвиг большой — DNS полностью вернулся. Сервер за ним ещё нет.
Что изменилось с ночи
Было (22:37): Google -> SERVFAIL, наш резолвер -> 45.130.41.69 Стало (06:45): Google -> статус 0 (ОК!), 45.130.41.69 www.zhivoe-ai.ru -> 45.130.41.69 MX -> mx1.beget.com, mx2.beget.com vashwwq9.beget.tech -> 5.101.152.78Зона отдаётся полностью: и адрес сайта, и www, и почтовые записи. Два сервера имён из четырёх открыты ( 93.92.81.0 и 194.113.245.0 ). Резолверы по всему миру теперь получают ответ — значит Beget свой DNS поднял.
Но веб-сервер с нашими файлами закрыт
Сторож в 06:38 записал честно: «имя есть, сайт не ответил». То есть сайт уже находят по имени, но соединение некуда ставить — сам сервер ещё поднимают.
Новых новостей нет
Проверил Яндекс — всё, что есть, от 2 ноября:
Причину, форс-мажор и порядок восстановления уже знаем: кибератака, п. 3 ст. 401 ГК, приоритет NS-серверам, данные восстанавливают, сроков нет. За ночь новых заявлений не появилось — единственный измеримый признак прогресса это то, что DNS ожил.
Проверил. Сдвиги есть в DNS, а сервер пока не поднялся.
Наши дела — 22:37
Что продвинулось: домен у нас разрешается стабильно — адрес 45.130.41.69 держится. Зона beget.com тоже отдаётся публичным резолверам.
Что нет: серверных портов нет ни одного. Сайт beget.com отдаёт 502 Bad Gateway — их фронт поднят, а бэкенд за ним ещё лежит.
Откат: в 19:04 сервер имён 93.92.81.0 открылся и держался — сейчас, в 22:29, все четыре снова закрыты. То есть DNS включали, а он опять не отдаёт. Это не наша беда, а их незаконченное восстановление.
Новые новости
Официальных обновлений после 16:01 не было — пост Beget во «ВКонтакте» и его перепечатка на Хабре так и висят с отметкой «6 часов назад». Всё свежее, что появилось:
Главное из официального (16:01, SecurityLab) остаётся в силе: причина — массированная кибератака, объявлен форс-мажор по п. 3 ст. 401 ГК, приоритет — NS-серверы «4–5 часов», почта параллельно, восстановление данных «займёт продолжительное время», сроков полного запуска нет. Обещанные 4–5 часов на DNS не сбылись: с 16:01 прошло 6,5 часов, а серверы имён то открываются, то закрываются.
Что это значит
Есть сдвиги, и нашёл официальные новости.
Движение за последние часы
DNS пошёл вверх. Наш домен уже разрешается в 45.130.41.69 — этот адрес мы видели впервые.
Но сам сервер ещё молчит
Сторож в 19:08 честно записал: «имя есть, сайт не ответил». То есть DNS вернулся, а веб-сервер с нашими файлами ещё не поднят.
Официальные новости — нашёл
Главное обновление Beget (16:01, 2 ноября), читал целиком на SecurityLab:
Ранние подробности того же дня — первый материал SecurityLab: в 01:50 признали «крупный инцидент», в 05:23 сообщили, что инженеры вручную настраивают оборудование в дата-центрах, аверсию с БПЛА и с PHP компания отвергла.
Что это значит для нас
Проверил. Впервые за 13 часов есть признак движения — но сайт ещё не встал.
Сайт: без изменений
16:29 DNS Google: zhivoe-ai.ru -> SERVFAIL beget.com -> SERVFAIL cp.beget.com -> SERVFAIL Наш резолвер: zhivoe-ai.ru -> нет ответа (три попытки подряд) Сторож: жив=false, проверено 16:28, «имя не разрешается»Лежит с 03:00 — 13,5 часа.
Но появилось движение в серверах имён
Следил за четырьмя серверами Beget каждые 20 секунд. Раньше все были глухи всё время, а сейчас один из них начал открываться:
185.50.27.12 — это ns1.beget.pro , один из их серверов имён. Порт то открывается, то закрывается, но запросы пока не обслуживает: спросил его напрямую про zhivoe-ai.ru , beget.com и vashwwq9.beget.tech — ответа нет.
Это значит: они уже поднимают DNS, но служба ещё не отвечает. Раньше не было даже этого.
Сдвигов нет. Проверял в 13:17.
Состояние
DNS (Google, свежий запрос): zhivoe-ai.ru -> SERVFAIL (status 2) beget.com -> SERVFAIL vashwwq9.beget.tech -> SERVFAIL Наш резолвер: zhivoe-ai.ru -> ENOTFOUND Сайты: https://zhivoe-ai.ru/ -> не отвечает https://beget.com/ru -> EAI_AGAINСерверы имён Beget по-прежнему мертвы:
Ни одна из четырёх машин не открыла порт — восстановление даже не началось на уровне DNS.
Лежит с 03:00 — 10,3 часа. Для сбоя DNS это очень долго; подтверждает, что у них проблема серьёзнее имён — вероятно, пострадало хранилище, и они поднимают сначала его.