Хакеры использовали уязвимость VMmanager 6i от ISPsystem для проникновения в панели управления российских хостинг-провайдеров и сбора данных с виртуальных серверов. По данным источников, заражение началось 11 октября, а основная фаза сбора данных пришлась на ночь 17 октября; пострадать могли клиенты нескольких провайдеров, включая FirstVDS.

Под угрозой оказались учётные данные и секреты, хранившиеся на серверах. ISPsystem и «Группа Астра» подтвердили проблему и сообщили об исправлениях; «Группа Астра» также проводит проверку инцидента.

• Источники расходятся в сроках заражения панелей: PRO Hi-Tech указывает период с 11 октября, а 3DNews — с 11 по 16 октября; активную фазу оба относят к 17 октября.
• По сообщению ЗаТелеком, атакующие подключали диски клиентских серверов в режиме только для чтения; этот источник оценил окно доступа примерно в десять часов.
• Среди потенциально похищенных данных назывались SSH-ключиi, root-пароли, конфигурационные файлы, .env, токены AWS и GitHubi, история команд, криптокошельки, документы и пользовательские бэкапы.
• ЗаТелеком сообщил, что серверы продолжали работать, а в логах гостевых ОС следов атаки не было видно.
• По данным ЗаТелеком, FirstVDS временно закрыл панели управления извне до финального исправления; источник уточнил, что выпущенный ISPsystem патч был промежуточным.
• «Группа Астра» сообщила о проверке инцидента и рекомендовала обновить VMmanager 6; владельцам затронутых серверов советуют заменить пароли и ключи доступа.