Взлом VMmanager: под ударом тысячи серверов
Хакеры атаковали инфраструктуру нескольких российских хостинг-провайдеров через уязвимость в VMmanager 6 — системе управления виртуальными серверами, которую разрабатывает ISPsystem из «Группы Астра». По данным CNews, платформа установлена более чем на 6000 серверах в частных компаниях и госучреждениях. Заражение панелей фиксировалось с 11 по 16 октября, а активная фаза атаки пришлась на ночь с 16 на 17 октября. Хостинг-провайдер FirstVDS подтвердил кражу данных 17 октября, а 18 октября разослал клиентам уведомление о том, что на части серверов работала программа для кражи информации. В расследовании инцидента приняли участие представители 37 хостинг-провайдеров.
Механика атаки оказалась прямой: вредоносная программа подключала диски клиентских VPS/VDS в режиме только для чтения и копировала с них файлы. Добычей могли стать пароли, SSH-ключи для удалённого входа, токены доступа к облачным сервисам, конфигурации, история команд, криптокошельки и документы пользователей. У злоумышленников также был список серверов с IP-адресами, электронными адресами клиентов, паролями администратора и данными для доступа через VNC-консоль.
Инцидент затронул и публичный рынок: акции «Группы Астра» на новостях о взломе теряли до 3,94%. В компании подтвердили, что осведомлены о случившемся, заявили, что проводят проверку и находятся в контакте с заказчиками, а исправления уже вышли и их рекомендуется оперативно установить. Хостинг-провайдер FirstVDS сообщил о взломе части инфраструктуры, аналогичные уведомления появились и у других игроков рынка. Ответственность за атаку пока не взяла на себя ни одна группировка.
Инцидент показывает, насколько чувствительной остаётся цепочка поставок в российском хостинге: одна уязвимость в панели управления открывает доступ не к одному серверу, а к инфраструктуре провайдера целиком. Для клиентов это означает необходимость сменить пароли и SSH-ключи, проверить токены облачных сервисов и внимательно отнестись к уведомлениям от своих хостеров. Для рынка — очередной сигнал, что аудит панелей управления и скорость установки патчей важнее, чем кажется до инцидента.