Недавняя атака на FirstVDS оказалась частью более масштабной вредоносной кампании, нацеленной на хостинг-провайдеров, использующих VMmanager 6. О последствиях атак сообщили еще несколько компаний, а представители Senko Digital утверждают, что эта кампания затронула как минимум несколько десятков провайдеров. Разработчики VMmanager продолжают выпускать исправления и рекомендуют временно ограничить доступ к панелям управления.
Напомним, что 17 октября 2026 года стало известно, что злоумышленники проникли в часть инфраструктуры FirstVDS через уязвимость в VMmanager 6. На некоторых узлах атакующие запускали стилер, который подключал диски клиентских VPS в режиме «только для чтения» и копировал пароли, SSH- и API-ключи, токены, конфиги, историю команд, данные криптокошельков и другие файлы.
Как стало известно теперь, от атаки пострадал не только FirstVDS. По информации РБК, о проблемах также сообщили представители хостинг-провайдеров ForestsNet Cloud, MHost, HSH Network и YaColo.
По данным ForestsNet Cloud, злоумышленники компрометировали панели VMmanager заранее, с 11 по 16 октября, а активная фаза атаки пришлась на ночь с 16 на 17 октября. Злоумышленники получали доступ к базам панелей, где могли находиться списки серверов, IP- и email-адреса, root-пароли и пароли VNC.
Также сообщается, что в инфраструктуре некоторых провайдеров хакеры добрались до узлов с клиентскими VM, где запускали инструменты для сбора данных с дисков, как произошло в случае с FirstVDS.
Отдельный отчет опубликовали специалисты хостера Senko Digital. Они сообщают, что в их инфраструктуре VMmanager был скомпрометирован еще 12 октября: через цепочку уязвимостей атакующий получил возможность выполнять команды без учетной записи и создал два администраторских API-токена. Однако 14 октября специалисты компании заметили подозрительную активность, отозвали токены и закрыли публичный доступ к панели. Последующий аудит не выявил доступа к клиентским VM, копирования их дисков или кражи паролей и ключей. В компании подытожили, что успели остановить атаку на ранней стадии.
Согласно обновленной информации от FirstVDS, вендор еще продолжает работу над устранением уязвимости, и доступ к панели виртуализации для клиентов, скорее всего, останется закрытым надолго.
Разработчиком VMmanager выступает ISPsystem, контроль над которой принадлежит «Группе Астра». Представители «Группы Астра» сообщили Forbes, что им известно об инциденте, связанном с уязвимостью в одной из сборок VMmanager:
«Мы проводим проверку и находимся в контакте с заказчиками. Поскольку речь идет о безопасности конкретных инфраструктур и заказчиков, эксплуатирующих платформу в открытом информационном контуре, мы не раскрываем перечень и количество затронутых операторов, а также детали того, как мог быть получен доступ. Это стандартная практика: раскрытие таких деталей до завершения обновлений у всех заказчиков создает дополнительные риски».
Однако в компании не раскрывают число пострадавших клиентов и технические детали уязвимости.
Пользователям рекомендуют устанавливать свежие обновления, закрыть панель и узлы виртуализации от внешних подключений, ограничить SSH-доступ только доверенными IP-адресами и сменить пароли.
При этом ИБ-специалисты не исключают, что проблема может затрагивать и корпоративные установки VMmanager, так как в их основе лежит тот же исходный код. Однако панели хостинг-провайдеров чаще доступны из интернета, что делает их более удобной целью для атак.
Пока ни одна хак-группа не взяла на себя ответственность за атаки, от которых хостинг-провайдеры пострадали за последние несколько дней. На фоне сообщений о взломах и уязвимости в VMmanager 20 октября акции «Группы Астра» подешевели на 3,94%, а на минимуме их цена опускалась до 212,3 рубля.
