Злоумышленники получили доступ к инфраструктуре нескольких российских хостинг-провайдеров через уязвимость в системе управления виртуализацией VMmanager 6 и запустили на серверах программу для кражи данных. Об инцидентах сообщили FirstVDS, ForestsNet Cloud, MHost и YaColo. Разработчик платформы, компания ISPsystem из «Группы Астра», подтвердил проблему в одной из сборок и ведёт проверку.
Программа подключала диски клиентских виртуальных серверов в режиме чтения и копировала пароли, SSH-ключи, токены облачных сервисов, конфигурационные файлы, историю команд, данные криптокошельков и пользовательские файлы. По данным ForestsNet Cloud, панели VMmanager были заражены с 11 по 16 октября, а активная фаза атаки пришлась на ночь с 16 на 17 октября. У хакеров оказались списки серверов, IP-адреса, пароли администратора и пароли для управления через VNC-консоль.
Платформа установлена более чем на 6000 серверах. Среди её пользователей — госучреждения, медицинские организации и частные компании. «Группа Астра» не раскрывает число затронутых операторов и сообщает, что исправления уже выпущены. Ответственность за атаку никто не взял.
