ТехволнаВзлом российских хостеров через VMmanager: пароли и ключи могли уйти злоумышленникам
Несколько российских хостинг-провайдеров столкнулись со взломом инфраструктуры. Злоумышленники использовали уязвимость в системе управления виртуальными серверами VMmanager 6, чтобы запустить на узлах вредоносную программу. Она могла собирать пароли, SSH-ключи, токены облачных сервисов и другие чувствительные данные.
О проблеме сообщили, в частности, в FirstVDS и других компаниях. VMmanager 6 разрабатывает ISPsystem, входящая в «Группу Астра», известную по операционной системе Astra Linux. Вредонос подключал диски клиентских VPS/VDS в режиме только для чтения и копировал файлы.
Среди потенциальной добычи — пароли, ключи для удалённого входа на сервер, токены доступа к облакам, конфигурационные файлы, история команд, криптокошельки и документы пользователей. Облачный провайдер ForestsNet Cloud установил, что заражение панелей VMmanager шло с 11 по 16 октября, а активная фаза атаки пришлась на ночи с 16 по 17 октября. В одном из эпизодов чтение данных продолжалось 17 октября с 12:27 до 22:34 по московскому времени.
Нападавшие располагали списком серверов и их IP-адресов, адресами электронной почты клиентов, паролями администратора и паролями для удалённого управления через VNC-консоль. Следов кражи на своих узлах ForestsNet Cloud не обнаружил, но и исключить доступ к ним компания не смогла. Это означает, что часть данных могла уйти без видимых следов.
Представители «Группы Астра» подтвердили осведомлённость об инциденте и заявили, что проводят проверку и находятся в контакте с заказчиками. В компании отметили, что не раскрывают перечень и количество затронутых операторов, а также детали того, как мог быть получен доступ. Там пояснили: раскрытие таких подробностей до завершения обновлений у всех заказчиков создаёт дополнительные риски.
При этом все необходимые меры по устранению причин и последствий атаки принимаются, проверка продолжается, а техническая поддержка помогает с конкретными инсталляциями. Исправления уже выпущены, их рекомендуется оперативно установить. Ответственность за атаку на себя не взяла ни одна хакерская группировка.
Первоначально VMmanager создавалась для хостинг-провайдеров, но затем вышла на корпоративный рынок, и система работает по-разному для этих двух сегментов. Уязвимость находилась именно в части для хостеров, поэтому они и стали первыми сообщать об инцидентах. «Группа Астра» не разрабатывала VMmanager с нуля: в 2022 году компания приобрела ISPsystem вместе с этим проектом.
Помимо хостеров, среди клиентов платформы указаны медицинские центры Минздрава, МИАЦ Томской области, Уральский федеральный университет, Алеф-банк, «Электросети Кубани» и другие организации. Инцидент показывает, что уязвимость в инструменте управления виртуальной инфраструктурой может затронуть не только хостинг-компании, но и их клиентов, включая государственные и финансовые учреждения. Рекомендация обновить VMmanager до актуальной версии касается всех пользователей, а не только тех, кто уже заметил подозрительную активность.
Экспертам ещё предстоит оценить масштаб возможной утечки, но сам факт доступа к паролям и ключам делает последствия потенциально серьёзными.
