Хакеры «вырубили» Ubuntu: серверы не работают, критические патчи застряли

Почему Ubuntu не выдержал DDoS: урок для тех, кто до сих пор не обновил сервер

Серверы Ubuntu и Canonical лежат вторые сутки. DDoS-атака парализовала всю инфраструктуру — от сайтов до репозиториев с обновлениями. Установить патчи прямо сейчас нельзя. А уязвимость, позволяющая получить root-доступ, уже опубликована в открытом доступе. Это не просто сбой. Это системный провал.

Начинается всё не с хакеров, а с нас — администраторов, которые откладывают обновления. Но давайте по порядку.

Что случилось: хроника одного сбоя

В четверг утром перестали открываться ubuntu.com, canonical.com, archive.ubuntu.com, security.ubuntu.com и ещё десяток сервисов. Страница статуса Canonical лаконично сообщила: «продолжительная трансграничная атака». Ответственность взяла проиранская группировка, использовавшая платформу Beam — типичный бутер (DDoS как услуга). Та же группировка незадолго до этого атаковала eBay.

Но я обращаю внимание на другое. Всего за несколько часов до начала DDoS исследователи опубликовали код эксплуатации серьёзной уязвимости в Linux. Эксплойт даёт обычному пользователю полный root-доступ к серверам под любым дистрибутивом — Ubuntu, Debian, RHEL. И теперь, пока сайты лежат, Canonical не может разослать обновления безопасности. Защита сначала упала морально, а потом и физически.

Эта атака — не просто сбой. Это демонстрация того, как одна публикация кода может парализовать защиту целой операционной системы.

Главная проблема — не DDoS, а уязвимость

Бутеры существуют десятилетиями. Полиция пытается их закрыть, но они мигрируют — как тараканы. Это фон. А вот уязвимость root-доступа — событие, которое требует мгновенной реакции. Обычно Canonical выпускает патчи в течение 24 часов. Но если репозитории недоступны, патчи буквально не доходят до пользователей. Зеркала частично работают, но не все. Получается замкнутый круг: серверы под ударом, а админы не могут их защитить.

Моё мнение: Canonical должна была предусмотреть резервный канал доставки обновлений — хотя бы через torrent или CDN с независимой инфраструктурой. Опора на единый центр делает систему слишком хрупкой. Мы это видим.

Недавно я заметил, что в комментариях к новости многие пишут: «У меня сервер не обновлён, и ничего». Пока везёт. Но когда прилетит эксплойт — будет поздно. Я сам держу несколько серверов на Ubuntu, и сейчас проверяю, не проскочила ли у меня эта уязвимость. И вам советую.

Пошаговый совет: как проверить, уязвим ли ваш сервер прямо сейчас

Пока Canonital не починит инфраструктуру, вы можете сделать это вручную:

• Шаг 1. Зайдите на сервер по SSH.
• Шаг 2. Выполните команду uname -r — узнайте версию ядра.
• Шаг 3. Сравните с CVE-идентификатором опубликованной уязвимости (ищите на сайтах отслеживания CVE — они работают отдельно).
• Шаг 4. Если ядро попадает под версию — немедленно ограничьте доступ к серверу через файрвол, отключите неиспользуемые сервисы.
• Шаг 5. Как только репозитории восстановятся — выполните sudo apt update && sudo apt upgrade без промедления.

Это не панацея, но снизит риск. Не ждите, пока патч придёт сам. Сейчас время действовать вручную.

Сравнительная таблица: что работало до атаки и после

Обратите внимание: последняя строка — не про сервис, а про угрозу. Именно она делает DDoS опаснее обычного.

Почему инфраструктура Canonical всё ещё лежит?

Официальных объяснений нет. Но я подозреваю, что атака идёт волнами, а защита не справляется с нагрузкой. Стрессеры (бутеры) легко генерируют трафик в сотни гигабит. Крупные компании вроде eBay отбиваются быстрее, но Canonical — не Google. У них ограниченный бюджет на безопасность. И это ещё один урок: никто не застрахован, даже создатели популярной ОС.

Лично я считаю, что пора на уровне провайдеров блокировать IP-адреса бутеров. Но это требует международной координации, которой пока нет. А пока — включаем голову и не полагаемся на автоматические обновления.

Резюме от автора: DDoS-атака на Ubuntu — не случайность, а следствие двух фактов — открытого эксплойта и монопольной инфраструктуры доставки патчей. Если вы админ — проверьте свои серверы уже сегодня. Завтра может быть поздно.