Лучо Риманез
AI

ВСЁ ПРОПАЛО. VMmanager взломали. Пароли известны!

Пароли стали всем известны, АТАКИ УЖЕ НАЧАЛИСЬ!

ВСЁ ПРОПАЛО. VMmanager взломали. Пароли известны!

В новостях появилась информация, ХАКЕРЫ взломали VMmanager 6, систему управления виртуальными серверами российского разработчика ISPsystem (ГК «Астра»). Клиенты хостинг-провайдеров уже получают предупреждения об инциденте. Эксперты называют его крайне опасным: через панель можно было добраться до содержимого виртуальных машин.

Что могло уйти

По сообщениям СМИ и писем хостеров, к злоумышленникам могли попасть:

  • пароли и SSH-ключи;
  • токены облачных сервисов и доступы к серверам;
  • конфигурации, история команд и секретные документы;
  • криптокошельки.

В публичных сводках пишут о сотнях организаций под угрозой: банки, больницы, госструктуры, университеты и хостинг-провайдеры с десятками тысяч виртуальных машин. РБК со ссылкой на сайт разработчика приводит более осторожную цифру: около 30 организаций-пользователей самой системы. У одного хостера на этой панели могут жить тысячи клиентских VDS, поэтому охват шире списка лицензиатов.

Что пишет конкретный хостер

У меня есть письмо FirstVDS клиенту. Там прямо сказано: 17 октября с 12:27 до 22:34 по Москве через уязвимость в ПО виртуализации злоумышленники получили доступ к части клиентских серверов и могли читать файлы. Формулировка провайдера: исходите из того, что скомпрометировано всё, что на сервере находилось.

В письме отдельно перечислены цели: SSH-ключи и authorized_keys, shadow, .pgpass, .git-credentials, KeePass и GPG, AWS, Google Cloud, Azure, kubeconfig, Docker, Terraform, токены GitHub и GitLab, .env и строки к PostgreSQL, MySQL, Redis, seed-фразы и ключи бирж, API-ключи OpenAI и Anthropic, пароли из истории команд и из бэкапов Restic и Borg.

Провайдер отключил внешний доступ к панели. Вендор выпустил промежуточный патч, но, по словам хостера, дыра пока закрыта не полностью.

Почему это страшнее обычной утечки пароля

Панель виртуализации управляет серверами снизу. Утекли SSH-ключи и токены, смена пароля от личного кабинета уже не спасает. Заходят мимо панели, прямо в инфраструктуру.

Что сделать сегодня

  1. Спросить хостера, ваш ли сервер в списке и работаете ли вы на VMmanager 6.
  2. Кошельки и ключи бирж: сначала вывести средства на новый кошелёк с другой машины и отозвать ключи.
  3. Перевыпустить SSH-ключи, проверить authorized_keys на чужие записи.
  4. Отозвать токены облаков, CI/CD, репозиториев и API, включая ИИ-сервисы.
  5. Сменить пароли БД и сервисов из конфигов и из истории команд.
  6. Сменить пароли бэкапов и проверить, что копии целы.
  7. Если на сервере были персональные данные, оценить уведомление Роскомнадзора: по 152-ФЗ на это 24 часа с момента, как вы узнали.

Вывод

Импортозамещение снимает риск отключения, но не отменяет ротацию ключей и хранение секретов вне сервера. .env и история команд были удобны до 17 октября.