Взлом VMmanager 6: хакеры украли пароли с 6000 серверов «Астры»
В системе управления серверами VMmanager 6 от «Группы Астра» обнаружена уязвимость, через которую злоумышленники получили доступ к данным тысяч клиентов. Инцидент затронул инфраструктуру хостинг-провайдеров и корпоративных заказчиков.
В октябре 2026 года киберпреступники воспользовались уязвимостью в платформе серверной виртуализации VMmanager 6, разработанной дочерней компанией ISPsystem, входящей в состав «Группы Астра». Атака позволила получить несанкционированный доступ к части инфраструктуры хостинг-провайдеров, включая FirstVDS, ForestsNet Cloud и MHost. По предварительным оценкам, под угрозой находились более 6000 серверов, используемых как частными предприятиями, так и государственными учреждениями.
Злоумышленники запустили специализированное программное обеспечение, которое подключало диски клиентских виртуальных машин в режиме только для чтения. С помощью этой схемы были скопированы пароли, SSH- и API-ключи, токены доступа, конфигурационные файлы, история команд и данные криптокошельков. При этом сами серверы продолжали функционировать в штатном режиме, а вредоносный код не внедрялся внутрь клиентских операционных систем.
Потенциальный масштаб утечки включает учетные данные облачных сервисов AWS, Google Cloud, Microsoft Azure и OpenStack, а также токены систем управления кодом GitHub, GitLab и npm. Также могли быть похищены API-ключи нейросетей OpenAI и Anthropic, настройки Kubernetes и Terraform, а также строки подключения к базам данных PostgreSQL, MySQL, MongoDB и Redis. Полученная информация передавалась на серверы атакующих.
«Группа Астра» подтвердила факт инцидента и заявила о проведении расследования. Разработчик выпустил серии обновлений безопасности в течение 18, 19 и 20 октября. Провайдер FirstVDS временно закрыл доступ к панели виртуализации для клиентов, перенеся основные функции управления в личный кабинет. На момент публикации материала работа по устранению последствий продолжалась. Акции «Астры» на фоне новости временно снизились, однако компания намерена продолжить взаимодействие с заказчиками в условиях новой информационной угрозы.