Взлом хостингов на VMmanager 6: что утекло, что мы сделали и что сделать вам

Взлом хостингов на VMmanager 6 · Hosting providers breached via VMmanager 6

В ночь на 17 октября злоумышленники атаковали хостинги на VMmanager 6 — панели ISPsystem, на которой работают VPS у нас и у многих других провайдеров. Сами панели они заражали заранее, с 11 по 16 октября, через критическую уязвимость: добирались до базы панели, а на части хостингов — и до узлов с серверами клиентов. Нас это тоже задело. Разбирали вместе с коллегами: в общем чате 37 человек из разных хостингов, среди них компании от 30 тысяч машин.

Серверы клиентов у нас всё это время работали, но пока мы разбирались, панель была закрыта. За время без неё приносим извинения.

Что утекло

У злоумышленников была база панели:

список серверов и их IP-адреса;
адреса почты учётных записей панели;
root-пароли, заданные через панель — при заказе, переустановке или смене пароля;
пароли консоли VNC.

На части хостингов злоумышленники добрались и до узлов и запускали на них сборщик. Он искал на дисках клиентских машин секреты:

Доступы и пароли: ключи SSH, authorized_keys, хэши системных паролей, сохранённые пароли к базам данных и git, менеджеры паролей, ключи GnuPG.
Облака и DevOps: учётные данные AWS, Google Cloud, Azure, OpenStack, Kubernetes, Docker и Terraform, токены npm, GitHub и GitLab.
Приложения и базы данных: файлы .env, конфиги приложений и подключений к базам, docker-compose.yml, конфиги Vault.
Криптовалюта: файлы кошельков, сид- и мнемонические фразы, ключи валидаторов, API-ключи бирж.
Браузеры и история: сохранённые в браузерах пароли и cookies, история командной строки и клиентов баз данных.
Ключи прямо в файлах: закрытые ключи, токены GitHub, GitLab и Slack, ключи AWS и API-ключи ИИ-сервисов, строки подключения к базам и Redis, пароли бэкапов restic и Borg.

Следов работы сборщика на наших узлах мы не нашли — проверили файлы, службы, процессы и журналы на всех узлах. Но до конца ни подтвердить, ни опровергнуть это не можем, поэтому советуем перестраховаться — что именно сделать, ниже. Это касается и клиентов большинства других хостингов на VMmanager 6.

На сервере самой панели сборщик успел поработать с правами root вечером 16 октября. Клиентских данных там, кроме базы панели, нет, а всё служебное, что на нём лежало, мы сменили — подробнее ниже.

Как это было

11–16 октября. Злоумышленники заражали панели VMmanager 6 через уязвимость. У нас первые следы — 12 октября; вечером 16 октября на сервере нашей панели поработал сборщик.
В ночь на 17 октября. Атака по хостингам: злоумышленники добирались до баз панелей, а на части хостингов — и до узлов с серверами клиентов.
17 октября. Обнаружили взлом и закрыли публичный доступ к панели. Нашли и убрали доступ злоумышленников, разобрали произошедшее по журналам и бэкапам.
В ночь на 18 октября. ISPsystem выпустила исправление — версию 2026.05.2-6. Поставили его, проверили, что уязвимость закрыта, и сменили ключи и служебные пароли.
18 октября. Панель снова открыта.

Что мы сделали

Поставили исправление разработчика в ночь его выхода и проверили, что дыры закрыты.
Сменили всё, что лежало на сервере панели: ключи доступа к узлам, служебные пароли интеграций биллинга и поддержки, ключи DNS и бэкапов.
Открыли доступ к панели только через Cloudflare с дополнительной фильтрацией.
Проверили все узлы, на которых работают серверы клиентов, — следов вмешательства не нашли.

Личный кабинет и платежи на my.forestsnet.cloud работают на отдельном сервере, у панели к нему доступа нет.

Что сделать вам

Если root-пароль задавали в панели и с тех пор не меняли — смените его, даже если на сервере всё выглядит спокойно.

Перейдите на вход по SSH-ключу. И выключите вход по паролю — как это сделать, в статье «Усиление SSH».
Смените секреты, которые лежали на сервере: ключи SSH, токены и API-ключи, пароли баз данных, учётные данные облаков и CI. Если на сервере были кошельки или сид-фразы — переведите средства на новые адреса.
Проверьте сервер: незнакомые пользователи, ключи в ~/.ssh/authorized_keys, задания cron, незнакомые процессы и службы. По шагам — в чеклисте защиты VPS.
Есть серверы у других провайдеров на VMmanager 6? Те же меры стоит принять и там.
Нашли что-то чужое или не уверены — напишите в поддержку: поможем разобраться, а при необходимости переустановим сервер.