Под угрозой более 6 тысяч государственных и бизнес серверов: хакеры атакуют через уязвимость VMmanager 6 от ГК «Астра»

Злоумышленники нашли лазейку для проникновения в инфраструктуру компаний через систему управления виртуализацией VMmanager 6. В FirstVDS.CLO сообщили о проникновении в свою инфраструктуру злоумышленников и последующем развертывании ими ПО для кражи данных. Об этом стало известно из официального канала компании.

VMmanager — российская платформа серверной виртуализации, разработанная компанией ISPsystem, входящей в группу компаний (ГК) «Астра», предназначенная для создания, управления и мониторинга виртуальной ИТ-инфраструктуры.

Ранее стало известно, что «Группа Астра» выплатила багхантерам более 3 млн рублей за найденные уязвимости. Исследователи искали уязвимости в сервисах, в число которых входил и VMmanager. За время работы программы ГК получила больше 120 отчетов багхантеров. SecPost писал об этом.

На официальном сайте «Группы Астра» опубликованы кейсы с компаниями-клиентами. Среди организаций, использующих платформу VMmanager, фигурируют российский разработчик Napa Labs, Нефтесервисный холдинг «ТАГРАС» и Авиакомпания «КрасАвиа».

Также VMmanager использует и СПб ГКУ «Организатор перевозок», о чем писали в РБК Компании. SecPost отправил запросы в компании, однако ответа на них не получил.

FirstVDS.CLO заявила, что 17 октября хакеры получили доступ к части инфраструктуры, а позже подключали диски клиентских виртуальных серверов в режиме «только для чтения», чтобы копировать с них информацию. Среди похищенных данных были пароли и ключи доступа (SSH, API, облачные сервисы и токены), конфигурационные файлы и история команд, криптокошельки и пользовательские файлы.

После того как данные были собраны, они были отправлены на сервер злоумышленников.

В 2025 году на официальном сайте ГК «Астра» было указано, что платформой VMmanager пользуются более 6000 серверов компаний, как из разных сфер бизнеса, так и из государственных учреждений. Тем не менее, в комментарии SecPost ГК объяснила, что не будет раскрывать долю использования платформы в РФ, лишь выделив, что по итогам последнего рейтинга российских платформ виртуализации VMmanager вошел в топ-5 решений.

При этом в группе компаний заявили, что знают об инциденте у FirstVDS и находятся в контакте с провайдером. Количество затронутых компаний в «Астре» раскрывать не стали. Также в ГК объяснили, что в данный момент вендор ISPsystem, входящий в группу компаний, выпустил исправления, убирающие уязвимость, а проверка и меры по устранению причин и последствий атак продолжаются.

Сменить логотип — недостаточно

Независимый ИБ-эксперт Евгений Баклушин отметил, что сам не использует VMmanager, однако выделил, что это довольно распространенное у российских хостеров решение, почти стандарт. «Поэтому дыра у одного вендора автоматически становится проблемой всего рынка VPS», — уточнил собеседник.

При этом эксперт заметил, что был взломан не сервер, а уровень управления гипервизором: «Внутри ВМ следов нет, EDR клиента молчит, сайты работают, а SSH-ключи, токены к облакам и репозиториям уже уходят наружу». Так, по словам Баклушина, далее начинается цепочка поставок: клиенты хостера получают проблемы уже у своих клиентов. Именно поэтому, отметил собеседник SecPost, сменить пароли от VDS в таком случае будет недостаточно: «Все секреты считаем скомпрометированными и перевыпускаем».

Баклушин подчеркнул, что существует множество альтернатив VMmanager — это Proxmox, OpenNebula и OpenStack, а из отечественных — zVirt, SpaceVM, «РЕД Виртуализация» и Basis. Тем не менее, по мнению эксперта, смена логотипа на панели не решает проблему. Собеседник указал, что защищает архитектура: панель гипервизора не торчит в интернете, доступ идет только через VPN и MFA, и есть мониторинг операций с дисками ВМ. «Миграция займет месяцы, а закрыть доступ к панели можно сегодня», — заметил Баклушин.

Собеседник выделил, что модель разделения ответственности у хостеров нередко существует лишь на бумаге: «„Лежит у провайдера“ не значит „защищено“». Баклушин подчеркнул, что это проверка на зрелость для вендора, поскольку ценность не в патче, а в прозрачности инцидента: в CVE, затронутых версиях и IoC.

Компрометация одного компонента может поставить под угрозу множество клиентских серверов

Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин подчеркнул: любая система централизованного управления чем-либо — цель для хакеров, которая окупает потраченное время и ресурсы. При этом, по мнению эксперта, важно отличать наличие уязвимости и фактическую возможность эксплуатации.

Собеседник SecPost объяснил, что, судя по всему, речь идет о возможности исполнения произвольного кода на сервере при наличии базового доступа к панели управления. «В случае с хостингом это имеет смысл — клиенты имеют непосредственный доступ к своим виртуальным машинам через консоль, а значит, каждый клиент потенциально может нарушить работу других клиентов на том же сервере», — указал на угрозу Полунин.

Руководитель направления Threat Intelligence Positive Technologies и сервиса PT Fusion Денис Кувшинов, в свою очередь, отметил, что главная уязвимость в системе управления виртуализацией — это масштаб возможных последствий: «Компрометация одного управляющего компонента может поставить под угрозу сразу множество клиентских серверов».

При этом, по мнению собеседника, особенно опасны последующие атаки с использованием похищенных секретов. «Ключ, сохраненный на одном сервере, может открывать доступ к другим серверам компании, облачным ресурсам, репозиториям кода или резервным копиям», — привел пример Кувшинов. Именно поэтому, по мнению эксперта, последствия потенциально выходят за пределы первоначально затронутой инфраструктуры: возможны и последующие кражи информации, подмены данных и вымогательство.

SecPost ведет реестр кибератак на российские компании и госорганизации.