ISPsystem раскрыл детали атаки на VMmanager 6 Hosting

ISPsystem, входящий в группу компаний «Астра», раскрыл подробности инцидента с уязвимостью нулевого дня в платформе серверной виртуализации VMmanager. Атака затронула одну из сборок VMmanager 6 Hosting, которую хостинг-провайдеры используют для автоматизированной выдачи виртуальных машин в открытом контуре.

По данным компании, злоумышленники воспользовались ранее неизвестной уязвимостью. Эксплуатации способствовала особенность Nginx, из-за которой система пропускала специально сформированные запросы. В ходе атаки преступники получили возможность воздействовать на инфраструктуру провайдеров, использующих уязвимую сборку платформы.

Расследование ISPsystem проводилось совместно со специалистами Kaspersky Incident Response и экспертами Kaspersky Threat Research. «Лаборатория Касперского» предоставила обновлённые базы индикаторов компрометации и утилиту Kaspersky Virus Removal Tool для поиска и удаления вредоносных бинарных файлов на узлах провайдеров.

Анализ показал, что атакующие активно применяли искусственный интеллект. Алгоритмы помогали динамически подстраивать тактику под особенности конкретных провайдеров и одновременно проверять разные направления атаки. По словам представителя «Лаборатории Касперского» Александра Лискина, вредоносное программное обеспечение также было создано с использованием ИИ, что повысило потенциальную опасность атаки на широко распространённый продукт.

Какие меры принял разработчик

ISPsystem выпустил серию внеплановых исправлений безопасности для линейки VMmanager и переработал защитную архитектуру решений. На время расследования компания отключила удалённое управление и запуск внутренних скриптов, чтобы сократить возможности злоумышленников для перемещения по инфраструктуре и закрепления в системах.

Для проверки эффективности обновлений в условиях, приближенных к реальной атаке, разработчик развернул в открытом контуре несколько стендов, имитирующих инфраструктуру хостинг-провайдеров. Часть таких honeypot-стендов получила актуальные исправления, а другая была намеренно оставлена уязвимой. Это позволило сравнить поведение атакующих и оценить устойчивость обновлённых конфигураций.

Совместный аудит затронутых инфраструктур продолжается. ISPsystem вместе с заказчиками и партнёрами ищет остаточные артефакты компрометации, анализирует действия злоумышленников и проверяет возможные бэкдоры. В компании заявили, что не будут считать расследование завершённым до полной проверки инфраструктур клиентов.

Что сообщал FirstVDS

О проблеме стало известно после сообщений FirstVDS. 18 октября 2026 года провайдер заявил, что злоумышленники получили доступ к части его сетевой инфраструктуры и данным некоторых клиентов через уязвимость в VMmanager 6. Два дня спустя компания предупредила, что работа вендора над устранением проблемы продолжается, а доступ клиентов к панели виртуализации останется закрытым на неопределённый срок.

FirstVDS также начал переносить основные функции управления серверами в личный кабинет и не исключил, что в дальнейшем полностью откажется от прежней схемы доступа к панели виртуализации. 21 октября провайдер сообщил о завершении собственного технического расследования, проведённого независимо от результатов работы ISPsystem.

Несмотря на сообщение вендора об устранении уязвимости, FirstVDS решил не открывать доступ к панели до завершения восстановления и проверки затронутых узлов. 23 октября компания сообщила, что клиентские серверы продолжают работать, однако операции управления могут выполняться медленнее обычного. Вопрос компенсаций клиентам на тот момент находился на стадии проработки.

Генеральный директор ISPsystem Павел Гуральник назвал произошедшее беспрецедентной по масштабу атакой, одновременно затронувшей программные продукты и инфраструктуру хостинг-провайдеров. По его словам, компания пересматривала процессы реагирования, сокращала время реакции и ограничивала публикацию технических деталей, чтобы не помогать атакующим. ISPsystem продолжает проверку систем клиентов и усиление защитных механизмов VMmanager.