Хакеры взломали российских хостеров через уязвимость VMmanager 6

Хакеры взломали российских хостеров. В середине октября злоумышленники воспользовались критической уязвимостью в VMmanager 6 — системе управления виртуальными серверами, разработанной компанией ISPsystem, входящей в ГК «Астра». Получив доступ к панелям управления, атакующие запустили скрипты для скрытого копирования клиентских данных: паролей, SSH-ключей, токенов доступа к облачным сервисам и криптокошельков.

Подготовка к атаке началась еще 11–16 октября, а активная фаза развернулась в ночь на 17-е число. Вредоносная программа подключала диски клиентских виртуальных серверов VPS/VDS в режиме только для чтения и копировала с них файлы, не оставляя следов внутри операционной системы пользователя. В одном из случаев чтение данных осуществлялось с 12:27 до 22:34 по московскому времени — серверы продолжали работать штатно, и клиенты ничего не подозревали.

Сборщик данных целенаправленно искал критически важную информацию. Под удар попали root-пароли и пароли VNC-консоли, заданные через панель, SSH-ключи для удаленного входа, API-токены, истории команд и конфигурационные файлы. Особый интерес представляли данные криптокошельков: файлы кошельков, сид-фразы, приватные ключи валидаторов и API-ключи криптобирж.

Об инцидентах официально сообщили хостинги FirstVDS, ForestsNet Cloud, MHost и YaColo. Следов кражи хостер на своих узлах не обнаружил, но и исключить доступ к ним компания также не смогла. В «Группе Астра» подтвердили, что осведомлены об инциденте и проводят проверку, однако не раскрывают перечень затронутых операторов — по их словам, раскрытие таких деталей до завершения обновлений у всех заказчиков создает дополнительные риски.

Разработчик ISPsystem оперативно закрыл брешь и выпустил серию обновлений безопасности. Сами хостеры начали принудительно накатывать патчи и временно ограничивать внешний доступ к панелям. На практике это выглядит так: системные администраторы получают уведомления о критическом обновлении и вынуждены экстренно применять его к продакшн-средам, что само по себе создает риски для стабильности работы сервисов.

Программа VMmanager создавалась для хостинг-провайдеров, но позже вышла на корпоративный рынок. «Группа Астра» не разрабатывала VMmanager с начала — компания приобрела ISPsystem вместе с этим проектом еще в 2022 году. Помимо хостеров, среди клиентов системы указываются медицинские центры Минздрава, вузы, банки и другие организации, что значительно расширяет потенциальный масштаб последствий атаки.

Специалисты по безопасности рекомендуют немедленно сменить root-пароли на серверах, отозвать старые SSH-ключи и перевыпустить все токены и API-ключи. Если на сервере хранилась сид-фраза или приватный ключ, криптовалюту нужно срочно перевести на абсолютно новые адреса, создав новый кошелек на гарантированно чистом устройстве. Что будет с данными, которые уже успели скопировать злоумышленники, пока неясно.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.