Несколько российских хостинг-провайдеров сообщили о последствиях атаки, связанной с уязвимостью в системе управления виртуальными серверами VMmanager 6. Одним из пострадавших стал FirstVDS, который предупредил клиентов о несанкционированном доступе к части своей инфраструктуры. Разработчик платформы ISPsystem, входящий в «Группу Астра», подтвердил наличие проблемы в одной из сборок VMmanager и сообщил о выпуске исправлений.
По данным FirstVDS, злоумышленники смогли развернуть на части узлов виртуализации специальную программу для сбора информации. Она подключала диски клиентских виртуальных серверов в режиме «только для чтения», после чего искала интересующие атакующих данные и отправляла их на внешний сервер. При этом сама вредоносная программа не запускалась внутри клиентских виртуальных машин, поэтому пользователи могли не заметить признаков компрометации непосредственно в своих системах.
Среди информации, которая потенциально могла попасть к злоумышленникам, называются пароли, SSH- и API-ключи, токены доступа к облачным сервисам, конфигурационные файлы, история команд, пользовательские документы и данные криптовалютных кошельков. FirstVDS уведомил владельцев серверов, которые могли быть затронуты атакой, и рекомендовал исходить из предположения, что хранившаяся на таких серверах информация могла быть скопирована.
Для одного из пострадавших серверов период возможного доступа к файлам был определён с 12:27 до 22:34 по московскому времени 17 октября. Однако проблема могла начаться раньше. Другой хостинг-провайдер, ForestsNet Cloud, сообщил, что следы заражения панелей VMmanager обнаруживались в период с 11 по 16 октября, а наиболее активная стадия атаки пришлась на ночь с 16 на 17 октября.
О последствиях сообщили и другие российские провайдеры. MHost после обнаружения подозрительной активности отключил часть оборудования и начал поэтапное восстановление серверов. YaColo сообщил о затронутых панелях в Кемерове, Москве и Санкт-Петербурге, однако подчеркнул, что прямых доказательств кражи пользовательских данных у компании на тот момент не было.
В «Группе Астра» подтвердили, что знают об инциденте и проводят проверку совместно с заказчиками. Компания не раскрывает полный список пострадавших операторов и технические подробности использованной уязвимости, поскольку распространение такой информации до установки обновлений всеми клиентами может создать дополнительные риски. Исправления для VMmanager уже выпущены, а пользователям платформы рекомендовано как можно быстрее установить обновления.
Эксперты отмечают, что VMmanager изначально разрабатывалась прежде всего для хостинговых компаний, а позднее стала применяться и в корпоративной инфраструктуре. У хостинг-провайдеров панели управления чаще доступны из интернета, поэтому потенциально уязвимые установки легче обнаружить при массовом сканировании. Корпоративные версии обычно находятся внутри закрытых сетей, что снижает вероятность подобной массовой атаки, но не исключает эксплуатацию уязвимости после проникновения злоумышленника во внутреннюю инфраструктуру.
Пострадавшим клиентам рекомендуют заменить пароли и отозвать ранее использовавшиеся SSH- и API-ключи, токены и другие данные авторизации, которые хранились на затронутых серверах. Владельцам криптовалютных кошельков имеет смысл перевести средства на новые адреса, созданные на безопасном устройстве, а администраторам серверов — проверить журналы входов, добавленные учётные записи, задания cron и службы systemd на предмет подозрительных изменений.
Полный масштаб атаки пока остаётся неизвестным. «Группа Астра» продолжает расследование, а отдельные провайдеры анализируют свои системы и уведомляют затронутых клиентов. Ни одна известная хакерская группировка на данный момент публично не заявила об ответственности за произошедшее.