Хакеры взломали систему управления виртуальными серверами VMmanager 6 «Группы Астра»

Хостинг-провайдер FirstVDS сообщил, что 17 октября злоумышленники, используя уязвимость в системе управления виртуальными серверами VMmanager 6 (принадлежит «Группе Астра»), получили доступ к части инфраструктуры. В сообщении поясняется, что хакеры запустили на ряде серверов программу для кражи данных, с помощью которой диски виртуальных серверов клиентов подключались к режиму «только для чтения». Таким образом, с них были скопированы данные о паролях, ключах доступа, токенах, конфигурационные файлы, история команд, криптокошельки и пользовательские файлы.

«Атака затронула не всю инфраструктуру, а только часть узлов виртуализации. Пострадали клиентские серверы, которые на них работали. Программа ничего не меняла на дисках виртуальных серверов и не запускалась внутри них», — говорится в сообщении хостинг-провайдера.

Спустя более двух дней компания сообщила, что работа над устранением уязвимости все еще продолжается, а доступ к панели виртуализации для клиентов закрыт. Вместе с этим отдел эксплуатации пересматривает политику безопасности внутренней инфраструктуры с учетом новых угроз.

При этом другой хостинг-провайдер — ForestsNet Cloud — заявил, что панели системы VMmanager 6 были «заражены» еще в период с 11 по 16 октября, а сама атака по хостингам происходила в ночь на 17 октября.

В то же время о проблемах из-за уязвимости в VMmanager 6 написал в своем телеграм-канале провайдер MHost. Компания 17 октября отключила оборудование сразу после обнаружения неполадок, а после восстанавливала серверы поэтапно. В понедельник, 19 октября, хостинг-провайдер сообщил о восстановлении работы всех серверов, отметив, что данные и диски не пострадали.

Система VMmanager создавалась для хостинг-провайдеров, но позже она вышла на корпоративный рынок, заявил источник РБК. Он отметил, что уязвимость, из-за которой произошел инцидент, могла быть именно в части системы, работающей для хостинговых компаний.

Представитель «Группы Астра» заявил изданию, что компания находится в контакте с заказчиками. Однако он отказался назвать тех, кого затронула атака, «поскольку речь идет о безопасности конкретных инфраструктур и заказчиков, эксплуатирующих платформу».

Frank Media направили запрос в Роскомнадзор.

^{Фото на обложке: DC Studio / Shutterstock}