Атака на VMmanager могла дать злоумышленникам доступ к данным виртуальных серверов клиентов российских хостинг-провайдеров: паролям, SSH-ключам, облачным токенам, криптокошелькам и документам. 18 октября о взломе уведомил FirstVDS; инцидент важен не только для пользователей одной панели, но и для компаний, которые передали через неё управление своей серверной инфраструктурой.
Несколько провайдеров сообщили об атаке через уязвимость в VMmanager 6 — системе управления виртуальными серверами, которую разрабатывает ISPsystem, входящая в «Группу Астра». Как сообщает vc.ru, на части серверов FirstVDS была запущена программа, подключавшая диски виртуальных машин и копировавшая файлы с них. Это принципиально отличается от привычного инцидента с недоступностью панели: при доступе к диску виртуальной машины атакующий может добраться до содержимого, которое клиент считал изолированным внутри своего сервера.
В перечне потенциально скомпрометированных данных FirstVDS назвал пароли, SSH-ключи, токены облачных сервисов, конфигурационные файлы, криптокошельки и пользовательские документы. Формулировка «могли получить доступ» здесь не означает автоматически утечку всех аккаунтов, но означает необходимость действовать так, будто секреты уже оказались у третьих лиц. Для разработчиков это риск захвата репозиториев и CI/CD-пайплайнов через ключи и токены; для бизнеса — возможный доступ к базам, резервным копиям и персональным данным; для администраторов — срочная ревизия доверия ко всем учётным данным, лежавшим на затронутых ВМ.
ForestNet Cloud сообщил, что заражение систем управления серверами могло происходить с 11 по 16 октября, а активная фаза пришлась на ночь с 16 на 17 октября. О проблеме также заявили MHost, HSH Network и YaColo. Несколько независимых сообщений от провайдеров указывают, что это не локальная история одного дата-центра и не ошибка отдельного клиента. Общей точкой для пострадавших стала инфраструктура управления VMmanager, хотя точный технический механизм проникновения и масштаб доступа на момент публикации не раскрыты.
VMmanager используют для администрирования виртуальной инфраструктуры: через такие системы создают и настраивают виртуальные машины, управляют их дисками, сетями и доступом. Поэтому компрометация панели управления имеет особенно неприятный радиус поражения. Ошибка внутри приложения пользователя обычно ограничена одним сервисом; доступ к управляющему контуру потенциально открывает путь сразу к множеству клиентских ВМ. В подобных инцидентах критичны не только уязвимость и факт её закрытия, но и логи действий: без них провайдеру сложно отличить неудачную попытку атаки от копирования данных.
Среди клиентов VMmanager, по данным публикации, около 30 организаций — хостинг-провайдеры, облачные компании и медицинские учреждения. Для последних риск особенно чувствителен: на виртуальных серверах могут храниться данные пациентов и внутренние документы, а последствия зависят от того, какие именно машины были доступны атакующим. «Группа Астра» сообщила, что проводит проверку в связи с инцидентом. ISPsystem стала частью её контура в 2022 году, когда «Астра» приобрела 70% акций компании за 2,5 млрд рублей.
Рынок отреагировал быстро: на фоне сообщений об атаке акции «Группы Астра» на Московской бирже потеряли около 1,4%, а в моменте снижение доходило до 3,9%. Для публичной компании это не столько оценка уже подсчитанного ущерба, сколько реакция на неопределённость. Инвесторы и заказчики ждут ответов на более приземлённые вопросы: какая уязвимость использовалась, когда она была устранена, какие версии продукта затронуты, были ли признаки проникновения до 11 октября и какие действия должны выполнить владельцы инфраструктуры.
Для команд, использующих VMmanager у провайдера или в собственной инфраструктуре, атака на VMmanager — повод не ждать итогов расследования. Нужна смена паролей и SSH-ключей, отзыв и перевыпуск облачных токенов, проверка конфигураций и журналов доступа за указанный период. Отдельно стоит проверить сервисные учётные записи, секреты в переменных CI/CD и ключи, которые могли быть сохранены на дисках виртуальных машин. Простая смена пароля от панели не отменяет риск, если атакующий успел скопировать ключи, токены или резервные конфигурации.
Инцидент снова показывает слабое место облачного и хостингового рынка: панель управления — это не вспомогательный интерфейс, а высокопривилегированный элемент инфраструктуры. Итоговая картина будет зависеть от результатов проверки «Группы Астра» и данных провайдеров, но уже сейчас главным вопросом остаётся не только устранение уязвимости, а способность операторов быстро установить, чьи диски были смонтированы и какие секреты требуется считать скомпрометированными.
