Хакеры взломали панель VMmanager и добрались до серверов хостингов
Специалисты по кибербезопасности обнаружили критическую уязвимость в панели управления виртуализацией VMmanager от компании «Группа Астра». Согласно отчёту на Код Дурова, злоумышленники использовали эту брешь для несанкционированного доступа к серверам хостинг-провайдеров, похищая пароли, SSH-ключи и файлы клиентов. Инцидент подчёркивает риски использования проприетарных инструментов управления в среде общего хостинга.
Как работает атака
VMmanager широко используется хостинг-провайдерами для управления виртуальными машинами и выделенными серверами. Уязвимость позволила хакерам обойти механизмы аутентификации и выполнить произвольные команды на хост-системе. Попав внутрь, они могли извлечь конфиденциальные данные с клиентских виртуальных машин, включая учётные данные баз данных, приватные ключи и конфигурационные файлы.
Цепочка атак включала три ключевых этапа:
- Первоначальный доступ: Эксплуатация ошибки удалённого выполнения кода (RCE) в API-эндпоинте панели.
- Повышение привилегий: Получение root-доступа к гипервизору через неправильные настройки разрешений.
- Эксфильтрация данных: Копирование зашифрованных и незашифрованных данных с серверов клиентов на внешние серверы.
Последствия для хостинг-провайдеров и пользователей
Эта утечка особенно опасна, потому что VMmanager часто используется небольшими и средними хостинговыми компаниями, у которых нет сильных команд безопасности. Злоумышленники могут незаметно скомпрометировать десятки серверов, используя украденные учётные данные для атак с программами-вымогателями или продавая доступ на форумах даркнета.
«Уязвимость превращает панель управления в чёрный ход», — говорит эксперт по безопасности, цитируемый в отчёте. «Хостинг-провайдеры должны немедленно установить патчи и сменить все учётные данные».
Что делать для защиты
Если вы хостинг-провайдер и используете VMmanager, первым делом установите последние патчи безопасности от «Группы Астра». Также включите двухфакторную аутентификацию (2FA) для всех административных учётных записей и ограничьте доступ к API только доверенными IP-адресами. Обычным пользователям стоит немедленно сменить пароли от хостинг-аккаунтов и SSH-ключи.
Для защиты от сетевой цензуры или замедления трафика со стороны провайдера используйте надёжный VPN-сервис, который шифрует ваш трафик и обходит ограничительные файрволы. Это добавит дополнительный уровень защиты от атак типа «человек посередине» и перехвата данных.