Взлом VMmanager 6: украдены пароли, ключи и доступы к криптобиржам клиентов хостингов

Злоумышленники использовали ошибки в программных интерфейсах VMmanager 6, чтобы выполнять команды на сервере панели без учётной записи. Получив контроль над системой управления, они запускали сборщик, который монтировал диски виртуальных машин клиентов только для чтения и выгружал конфиденциальные файлы на внешний сервер. Виртуальные машины при этом не заражались, клиентские серверы продолжали работать в обычном режиме, а следы кражи в стандартных журналах могли отсутствовать.

Вредоносная программа целенаправленно искала учётные данные от AWS, Google Cloud и Azure, ключи GitHub и GitLab, доступы к базам данных и резервным копиям, а также учётные записи криптобирж и ключи доступа к ИИ-сервисам OpenAI и Anthropic. Разработчик ISPsystem подтвердил инцидент, но не раскрывает номер уязвимой сборки, идентификатор CVE и список пострадавших версий, объясняя это соображениями безопасности.

Атака развивалась поэтапно. Первые следы проникновения в инфраструктуру Senko Digital и ForestsNet Cloud датированы 11–12 октября. В ночь на 17 октября началась активная фаза — массовый сбор данных с правами администратора на серверах панелей. Провайдеры FirstVDS, Senko Digital, MHost, ForestsNet Cloud, YaColo, HSH Network и Datagio подтвердили инцидент или приняли меры предосторожности. FirstVDS и ForestsNet Cloud подтвердили кражу данных, включая root-пароли и пароли VNC. В то же время YaColo и Datagio прямых доказательств хищения файлов не обнаружили. Общее число затронутых серверов и конечных пользователей остаётся неизвестным — оценки Senko Digital говорят минимум о нескольких десятках хостинг-провайдеров.

Чем уязвимость VMmanager 6 опасна для провайдеров и их клиентов

VMmanager — платформа для управления виртуальными серверами, и скомпрометированная панель открывает доступ сразу ко всем обслуживаемым машинам. Кража учётных записей, ключей и доступов к криптобиржам создаёт риски не только для самих провайдеров, но и для конечных клиентов, чьи серверы могли использоваться для хранения коммерческой информации, доступа к платёжным системам и облачным ресурсам. Поскольку сборщик не изменял диски и не оставлял следов в журналах виртуальных машин, факт компрометации мог остаться незамеченным даже после восстановления работы панели.

Что делать прямо сейчас: замена ключей, проверка доступов и пересмотр архитектуры

Даже после установки исправлений похищенные пароли и ключи остаются у атакующих. Пострадавшим клиентам необходимо сменить пароли, отозвать прежние SSH-ключи, выпустить новые, а также проверить список пользователей, задачи автозапуска и историю входов в сторонние сервисы. Если на скомпрометированной машине находились файлы криптокошельков или фразы восстановления, средства рекомендуют перевести на новые кошельки с чистого устройства. MHost советует заново развернуть систему и переносить данные только из проверенной резервной копии. Со своей стороны ISPsystem требует от провайдеров настроить межсетевой экран так, чтобы соединения с платформой и узлами были разрешены только для проверенных администраторов, а SSH-доступ открыт лишь с доверенных IP-адресов.

Разработчик продолжает выпускать исправления, однако FirstVDS сообщил, что один из патчей не закрыл проблему полностью. Часть провайдеров сохраняет панели закрытыми, другие открывают с дополнительной фильтрацией, переносят управление серверами в личные кабинеты и пересматривают защиту внутренней сети. Разработчик продолжает выпуск исправлений, сроки полного восстановления публичного доступа не названы.