Хакеры взломали панель VMmanager и добрались до серверов хостингов
Несколько российских хостинг-провайдеров сообщили о взломе VMmanager — системы управления виртуальными серверами от «Группы Астра», пишет РБК.
Хостинг-провайдер FirstVDS 18 октября предупредил клиентов, что на части серверов запустили программу для кражи данных. Она подключала диски клиентских виртуальных серверов (VPS/VDS) в режиме «только для чтения» и копировала файлы. По словам компании, злоумышленники проникли в инфраструктуру через уязвимость в VMmanager 6.
Что могло попасть к злоумышленникам
Под угрозой оказались пароли, SSH-ключи для удалённого входа на сервер, токены доступа к облачным сервисам, конфигурационные файлы, история команд, криптокошельки и документы пользователей. Для одного из серверов FirstVDS указала период возможного чтения файлов: 17 октября с 12:27 до 22:34 по Москве.
По разбору провайдера ForestsNet Cloud, панели VMmanager заражали заранее, с 11 по 16 октября, а активная фаза атаки пришлась на ночь на 17 октября. Атакующим были доступны списки серверов и IP-адресов, почта клиентов, root-пароли и пароли от удалённых консолей. О последствиях также сообщили MHost, HSH Network и YaColo, при этом часть компаний утверждает, что следов кражи данных у себя не нашла. Ответственность за атаку никто не взял.
Что говорят в «Группе Астра»
VMmanager разрабатывает компания ISPsystem, 70% которой «Астра» купила в 2022 году. Среди пользователей системы на сайте вендора указаны хостинги и облачные компании, медицинские центры Минздрава, Уральский федеральный университет и «Алеф-банк». В «Группе Астра» подтвердили инцидент с уязвимостью в одной из сборок VMmanager и сообщили, что исправления уже выпущены.
«Мы проводим проверку и находимся в контакте с заказчиками», — заявил представитель «Группы Астра».
Почему атака опасна
Эксперты называют инцидент опасным, потому что доступ к панели гипервизора открывает атакующим диски всех виртуальных машин на уровне ниже их операционной системы. Антивирусы и шифрование внутри сервера такую атаку не замечают, а проверить, скопированы ли данные, может только провайдер по журналам гипервизора.
Аскар Добряков из «К2 Кибербезопасность» предупредил, что одной смены паролей может не хватить: пока уязвимость не закрыта, серверы могут взломать повторно. Технических подробностей уязвимости FirstVDS не раскрывает.