Уязвимость в VMmanager 6 позволила злоумышленникам взломать инфраструктуру нескольких хостинг-провайдеров и украсть файлы клиентов. Разработчик ISPsystem подтвердил инцидент, а часть операторов до сих пор держит панели управления закрытыми.
FirstVDS подтвердил кражу данных 17 октября. На части физических серверов провайдера злоумышленники запустили программу, которая подключала диски клиентских виртуальных машин в режиме «только для чтения». Сборщик отправлял на внешний сервер пароли, ключи доступа, настройки приложений, историю команд, криптокошельки и пользовательские файлы.
Вредоносная программа не запускалась внутри виртуальных машин и ничего не меняла на дисках, поэтому клиентские серверы продолжали работать, а первоначальная кража могла не оставить следов в обычных журналах. FirstVDS призвал получателей персонального уведомления считать файлы скопированными. Отсутствие письма означает лишь, что провайдер пока не нашёл следов атаки на соответствующем узле.
VMmanager позволяет создавать виртуальные серверы и управлять инфраструктурой, на которой работают проекты разных заказчиков. Поэтому захват управляющей панели может затронуть сразу множество клиентов, даже если каждый защищал собственную машину. В случае FirstVDS атакующие читали диски со стороны оборудования провайдера, без входа в каждую гостевую систему.
Техническую цепочку своего взлома описала Senko Digital. По результатам расследования компании, атакующий использовал несколько ошибок в программных интерфейсах VMmanager и добрался до функции подключения ISO-образов, цифровых копий дисков. Цепочка позволила выполнить собственные команды на сервере панели без учётной записи и предварительного входа в систему.
У MHost специалисты тоже нашли на инфраструктурных узлах вредоносную программу, которая искала конфиденциальные файлы. Провайдер отключил оборудование и восстанавливал работу поэтапно, а 19 октября объявил о запуске серверов после проверки и замены служебных ключей. Заявление о сохранности дисков не отменяет риска копирования данных, поэтому клиентам рекомендовали сменить пароли и ключи.
Опубликованный MHost перечень целей показывает, насколько далеко могли распространиться последствия. Сборщик искал учётные данные AWS, Google Cloud и Azure, ключи GitHub и GitLab, доступы к базам данных, резервным копиям, криптобиржам и ИИ-сервисам OpenAI и Anthropic. Речь идёт о секретах клиентов, хранившихся на арендованных серверах, а не о взломе перечисленных платформ.
ForestsNet Cloud подтвердил утечку базы управляющей панели. Злоумышленникам достались список виртуальных серверов с IP-адресами, почта владельцев учётных записей, пароли администратора root, заданные через панель при заказе, переустановке или смене пароля, а также пароли удалённой консоли VNC. Провайдер отдельно предупредил клиентов, которые после выдачи не меняли root-пароль.
Первые следы проникновения ForestsNet Cloud нашёл за 12 октября. Вечером 16 октября сборщик работал с максимальными правами на сервере панели, а 17 октября компания обнаружила взлом и закрыла публичный доступ. На узлах с клиентскими машинами следов сборщика не нашли, но полностью исключить доступ провайдер не смог. Личный кабинет и платежи размещены отдельно, доступа к ним у панели не было.
YaColo сообщила, что 18 октября инцидент затронул несколько панелей проекта в Кемерове, Москве и Санкт-Петербурге. При этом компания подчеркнула, что прямых доказательств кражи данных нет. Об атаке также сообщала HSH Network. Публичные заявления провайдеров пока не позволяют установить общее число затронутых серверов и пользователей.
Datagio временно отключил затронутые узлы как меру предосторожности и пообещал возвращать серверы после проверки безопасности. В уведомлении компания не подтверждала кражу клиентских файлов. Позднее провайдер объявил о восстановлении площадок, а затем и управления серверами. Поэтому включать Datagio в список подтверждённых утечек на основании одного отключения нельзя.
Расследование Senko Digital показывает, что кампания началась раньше массовых сообщений 17 октября. В инфраструктуру компании атакующий проник 12 октября и создал два административных токена, цифровых ключа доступа к панели, со сроком действия до 2036 года. Подозрительные ключи обнаружили 14 октября во время проверки другой похожей уязвимости, отозвали и закрыли панель для внешних подключений.
После проверки Senko Digital не нашла признаков чтения или копирования клиентских дисков, выгрузки базы панели либо проникновения на узлы. Компания заменила ключ удалённого управления на всех 94 узлах и перенесла панель на новый изолированный сервер. Провайдер оценивает масштаб всей кампании как минимум в несколько десятков хостингов, но общей подтверждённой статистики пока нет.
ForestsNet Cloud относит предварительное заражение панелей к периоду с 11 по 16 октября, а активную фазу атак к ночи на 17 октября. Такая хронология согласуется с ранними следами проникновения у отдельных операторов, но не устанавливает единую дату взлома для всех участников. У провайдеров различались и момент обнаружения, и глубина доступа злоумышленников, и последствия для клиентов.
ISPsystem, входящая в группу «Астра», связывает инцидент с одной из сборок VMmanager 6, но не раскрывает номер, список пострадавших операторов и способ проникновения. В заявлении от 20 октября нет идентификатора CVE и полного перечня исправленных версий. Разработчик объясняет закрытость тем, что технические подробности до завершения обновлений могут помочь атакующим.
Исправления уже поступают провайдерам, однако возвращать публичный доступ готовы не все. ForestsNet Cloud установил версию 2026.05.2-6 в ночь на 18 октября и затем открыл панель через Cloudflare с дополнительной фильтрацией. FirstVDS утром 19 октября сообщил, что очередной установленный патч ещё не закрыл проблему полностью, а разработчик рекомендовал сохранить ограничения и готовил следующие обновления.
Утром 20 октября FirstVDS сообщил, что разработчик продолжает исправления, а клиентская панель останется закрытой, вероятно, надолго. Основные функции управления серверами провайдер переносит в личный кабинет и допускает, что сохранит такую схему постоянно. Параллельно компания пересматривает защиту внутренней сети и служебных систем.
На время инцидента ISPsystem требует ограничить соединения с платформой и узлами через межсетевой экран, который пропускает или блокирует сетевой трафик по заданным правилам. Исключения предусмотрены только для доверенных администраторов и технической поддержки, причём ограничения касаются входящих и исходящих соединений. SSH-доступ разрешён лишь с доверенных адресов.
Пострадавшим клиентам провайдеры советуют заменить пароли и ключи, хранившиеся на серверах, включая SSH-ключи для удалённого входа. Старые ключи нужно отозвать, а не просто выпустить новые. Отдельной проверки требуют неизвестные пользователи, задания автоматического запуска и входы в сторонние сервисы, поскольку украденными доступами могли воспользоваться уже после первоначальной атаки.
Если на затронутой машине хранились файлы криптокошельков или фразы восстановления, провайдеры рекомендуют перевести средства на новые кошельки, созданные на другом, чистом устройстве. MHost также советует заново развернуть систему и перенести данные из проверенной резервной копии. Даже окончательное исправление VMmanager не лишит злоумышленников уже похищенных паролей и ключей.
