Хостинг-провайдер FirstVDS пострадал от хакерской атаки: 17 октября 2026 года злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к части инфраструктуры компании. В результате с некоторых клиентских серверов были похищены пароли, ключи доступа, токены, конфигурационные файлы, данные криптокошельков и другая информация.
Как пишут представители FirstVDS, атакующие запустили на части узлов виртуализации программу для кражи данных, которая подключала диски клиентских виртуальных серверов в режиме «только для чтения», собирала информацию и отправляла ее на подконтрольный злоумышленникам сервер.
В частности, стилер копировал пароли, SSH- и API-ключи, токены облачных сервисов, конфигурационные файлы, историю команд, данные криптокошельков и пользовательские файлы.
При этом малварь не запускалась внутри самих виртуальных машин и ничего не меняла на их дисках, из-за чего серверы продолжали работать в штатном режиме, а следов атаки внутри гостевых систем могло не быть.
Подчеркивается, что инцидент затронул не всю инфраструктуру FirstVDS, а лишь часть узлов виртуализации. Владельцам пострадавших серверов отправили уведомления по электронной почте и через личный кабинет. В случае получения такого сообщения следует считать, что все данные с сервера были скопированы хакерами.
После обнаружения атаки специалисты FirstVDS закрыли внешний доступ к системе управления виртуализацией, через которую произошел взлом, а также заблокировали в своей сети адрес сервера злоумышленников.
Разработчики VMmanager 6 уже выпустили промежуточный патч и работают над окончательным исправлением уязвимости. Вплоть до полного устранения проблемы внешний доступ к системе управления останется закрытым.
В компании рекомендуют всем пострадавшим клиентам в первую очередь перевести средства с потенциально скомпрометированных криптокошельков на новые, созданные на чистом устройстве. Также необходимо сменить все пароли, SSH- и API-ключи и токены, которые хранились на сервере, причем старые ключи следует именно отозвать, а не просто выпустить новые.
Кроме того, в FirstVDS советуют проверить журналы входов начиная с 17 октября 2026 года. Если злоумышленники успели воспользоваться похищенными данными, стоит обратить внимание на ~/.ssh/authorized_keys, появление новых пользователей, задания cron и службы systemd.
Если на сервере хранились персональные данные клиентов, в FirstVDS советуют проконсультироваться с юристом и выяснить, требуется ли уведомлять Роскомнадзор об инциденте.
В настоящее время расследование случившегося продолжается, детальный отчет об инциденте в компании планируют опубликовать после завершения расследования.
