Атака на панели VMmanager 6 затронула ключи и сид-фразы на серверах хостингов

Неизвестные использовали уязвимость в платформе управления виртуализацией VMmanager 6, которую разрабатывает ISPsystem (входит в «Группу Астра»). Об этом сообщил пострадавший провайдер ForestsNet Cloud. По его данным, в отдельных случаях атакующие получили доступ не только к базам управляющих панелей, но и к физическим узлам, где размещались клиентские виртуальные машины.

На затронутых серверах работал вредоносный сборщик. Он искал SSH- и API-ключи, токены, конфигурационные файлы, файлы криптокошельков, сид- и мнемонические фразы, ключи валидаторов и API-ключи криптобирж. Также в список попадали пароли к базам данных, файлы .env, учётные данные AWS, Google Cloud и Azure, токены GitHub и GitLab.

Хронология и охват

Первые следы заражения панелей ForestsNet относит к периоду с 11 по 16 октября. В ночь на 17 октября, по данным провайдера, атакующие начали получать доступ к базам управляющих панелей, а у части операторов добрались до узлов с клиентскими машинами.

В разборе инцидента участвовали 37 представителей разных хостингов, уточняет ForestsNet. Это число участников общего чата, а не количество взломанных компаний.

Второй пострадавший — FirstVDS — также сообщил о компрометации части инфраструктуры через VMmanager. В уведомлениях компании клиентам рекомендовали считать данные затронутых серверов скомпрометированными и заменить пароли, SSH-ключи, токены и другие секреты, включая криптокошельки и сид-фразы.

Почему работающий сервер ничего не доказывает

Доступ шёл со стороны инфраструктуры провайдера, поэтому внутри самой виртуальной машины очевидных следов могло не остаться. То, что VPS продолжает работать, не подтверждает, что данные не скопировали.

Степень компрометации у операторов разная. ForestsNet после проверки клиентских узлов не нашла там следов сборщика, но полностью исключить утечку не смогла. Клиентские серверы провайдера работали, панель VMmanager после разбора снова стала доступна 18 октября. У FirstVDS статус-панель также показывает восстановление ряда панелей VMmanager 18 октября после периода частичной недоступности.

Исправления выходят волнами

В ночь на 18 октября ForestsNet установила версию VMmanager 2026.05.2-6 и после проверки сочла вектор закрытым. Но релизы продолжились: для стабильной ветки версии 2026.05.2-6 и 2026.05.2-7 вышли 18 октября, 2026.05.2-8 — 19 октября, 2026.05.2-9 — 20 октября. Для регулярной ветки обновления выпускались в те же дни. Технические подробности исправленных уязвимостей ISPsystem в журнале изменений не раскрывает.

Ориентироваться только на первый патч администраторам VMmanager недостаточно: актуальную версию конкретной установки нужно сверять с официальным журналом ISPsystem.

Что делать с ключами и кошельками

Риск для клиента зависит от того, какие секреты лежали на сервере. ForestsNet рекомендует заменить root-пароли, отозвать и перевыпустить SSH-ключи, токены и API-ключи, сменить пароли баз данных, проверить учётные данные облачных сервисов и систем непрерывной интеграции. Отдельно стоит просмотреть список авторизованных SSH-ключей, задания cron, незнакомые службы, процессы и пользователей.

Для криптовалюты последствия тяжелее обычной смены пароля. Если на машине хранилась сид-фраза или приватный ключ, настройками сервера их уже не защитить. Средства нужно перевести на новые адреса, а новый кошелёк создавать на доверенном устройстве, не связанном с затронутой системой. Проверить адреса на попадание в скам- и санкционные списки можно через проверку кошелька.

Ключи валидаторов и API-ключи бирж тоже следует считать раскрытыми и заменить на стороне сервиса. Подтверждения массовой кражи криптовалют у клиентов в сообщениях провайдеров пока нет. Но сам доступ к приватным ключам требует действовать до первых признаков вывода средств.