Am Oktober 2026 hunn Ugräifer gläichzäiteg verschidde russesch Hosting-Ubidder iwwer eng kritesch Schwachstelle am VMmanager 6 gezielt, engem Virtualiséierungs-Verwaltungspanel, deen vun ISPsystem (Deel vun der Astra Group) entwéckelt gouf. Dëse Panel bedreift VPS fir eis a fir vill aner Ubidder. Mir ware betraff.
Är Server lafen weider. Hei drënner fannt Dir wat geschitt ass, firwat, wat mir scho gemaach hunn a wat Dir maache musst.
D'Ursaach: eng Schwachstelle am Produkt vum Hiersteller
Den Ugrëff gouf duerch eng kritesch Schwachstelle an der VMmanager 6 Software selwer méiglech gemaach. Dëst war keng Fehlkonfiguratioun bei engem eenzelne Provider: déiselwecht Schwachstelle gouf gläichzäiteg géint vill Hostingfirmen ausgenotzt.
FirstVDS, ForestsNet Cloud, MHost, HSH Network a YaColo hunn ëffentlech Datenlecke iwwer VMmanager 6 gemellt. De Fournisseur huet den Tëschefall bestätegt: laut engem Vertrieder vun der Astra Group war d'Schwachstelle an engem vun de VMmanager-Builds.
| Datum | Héichwaasser |
|---|---|
| Oktober 11-16 | Attacker infizéieren VMmanager 6 Panelen iwwer d'Schwachstelle a setzen eng Persistenz op. |
| Nuecht vum 16. bis den 17. Oktober | Aktiv Phas: Zougang zu Paneldatenbanken a bei verschiddene Provideren zu Knueden, déi Clientserver hosten |
| Oktober 18 | Mir hunn eis eegen Enquête gestart an éischt Moossname getraff |
| Nuecht vum 17. bis den 18. Oktober | ISPsystem verëffentlecht den éischte Fix (Versioun 2026.05.2-6) |
| Oktober 19-20 | Den Hiersteller verëffentlecht zousätzlech Fixes; d'Aarbecht un der Schwachstelle geet weider |
| Oktober 25 | Den Hiersteller huet dat lescht Sécherheetsupdate erausginn, an mir hunn et installéiert. Detailer iwwer d'Schwachstelle an den Attackvektor sinn awer nach net bekannt ginn. |
Wat de Verkeefer nach net verroden huet
Bis zur Verëffentlechung huet ISPsystem den Hosting-Ubidder net genuch Informatiounen zur Verfügung gestallt, fir d'Schwachstelle mat Sécherheet ze behiewen an hir Infrastruktur ze verifizéieren. Folgend gouf nach net publizéiert:
- eng Beschreiwung vun der Schwachstelle an der initialer Zougangsmethod;
- en CVE-Identifikator an d'Lëscht vun de betraffene Versiounen;
- Indikatoren fir Kompromësser (IoCs): Serveradressen vun den Ugräifer, Datei- a Prozessnimm, Zeeche vu Persistenz;
- Bestätegung, datt déi verëffentlecht Fixes d'Lück komplett zoumaachen.
Den éischte Fix gouf an der Nuecht vum 18. Oktober verëffentlecht, gefollegt vun e puer weideren. Laut anere betraffene Provider huet de Provider selwer dovun ofgeroden, den Zougang zum Panel erëm opzemaachen, bis weider Patches erauskommen. Ouni technesch Detailer muss all Provider den Ugrëff eleng rekonstruéieren, aus senge eegene Logbicher an andeems hien d'Resultater mat Kollegen deelt.
Mir hunn de Verkeefer ëm komplett technesch Informatiounen gefrot a wäerten dës publizéieren, soubal mir se kréien. Mir gleewen, datt d'Verantwortung fir d'Schwachstelle, an d'rechtzäiteg Verëffentlechung vun Informatiounen doriwwer, beim Entwéckler vum Produkt läit.
Wat kéint geleckt sinn
D'Attacker kruten Zougang zu der Panel-Datebank, déi folgendes enthält:
- d'Lëscht vun de Serveren an hiren IP-Adressen;
- E-Mailadressen vu Panelkonten;
- Root-Passwierder, déi iwwer de Panel beim Bestellen, Neiinstalléieren oder Ännere vum Passwuert agestallt ginn;
- VNC Konsole Passwierder.
Bei verschiddene Provideren hunn d'Attacker och d'Virtualiséierungsknoten erreecht. Do hunn si e Programm ausgeféiert, deen Client-Server-Disketten am Read-Only-Modus montéiert an no Geheimnisser gesicht huet:
- SSH-Schlësselen,
authorized_keys, Passwuert-Hashes, Passwuertmanager, GnuPG-Schlësselen; - Cloud- an DevOps-Umeldungsinformatiounen: AWS, Google Cloud, Azure, Kubernetes, Docker, Terraform, GitHub, GitLab an npm-Tokens;
.envandocker-compose.ymlDateien, Applikatiouns- a Datebankkonfiguratiounen;- Krypto-Portemonnaien, Seed-Phrasen, Austausch-API-Schlësselen;
- Browserpasswierder a Cookien, Shell-Verlaf;
- KI-Service API-Schlësselen, restic a Borg Backup-Passwierder.
De Programm ass op Infrastrukturniveau gelaf an ni bannent de Serveren ausgeführt ginn. Dofir hannerléisst et keng Spueren um Server selwer, och wann d'Donnéeë kopéiert goufen.
Mir hunn keng Spuere vun dësem Programm op eise Knuet fonnt, awer wéinst dem Manktem un Informatioune vum Ubidder kënne mir net ganz ausschléissen, datt et gelaf ass.
Wat mir gemaach hunn
Ouni op komplett Informatioune vum Verkeefer ze waarden, hu mir eis eegen Enquête duerchgefouert an déi eis bekannt Zougangsweeër zougemaach:
- Den ëffentlechen Zougang zum Kontrollpanel gouf direkt nom Erkennen vum Ugrëff zougemaach.
- Onerlaabt Administrateurkonten, déi vun den Ugräifer fir Persistenz erstallt goufen, goufen an eise béide Panelen fonnt a blockéiert. D'Detailer goufen fir d'Enquête gespäichert a mam Ubidder gedeelt.
- All Fixes installéiert, déi vum ISPsystem verëffentlecht goufen.
- Alles wat um Panelserver gespäichert war, gouf rotéiert: Zougangsschlësselen fir Knuet, Servicepasswierder fir d'Aktualiséierung an d'Supportintegratiounen, DNS- a Backup-Schlësselen.
- D'Knoten, déi Clientserver hosten, goufen iwwerpréift: Dateien, Servicer, Prozesser a Logbicher.
Wat net betraff war
Baséierend op eiser Enquête huet den Incident keen Afloss op:
- Backup-Serveren;
- perséinlech Donnéeën an der Rechnungsstellung;
- Bezuelungsdetailer;
- all Servicer ausser der betraffener Virtualiséierungs-Managementplattform.
D'Trennung vun dëse Systemer huet den Ënnerscheed gemaach: den Zougang zu engem Deel vun der Virtualiséierungsmanagementëmfeld huet keen Zougang zu Rechnungsdaten, Clientkonten oder der Backup-Infrastruktur ginn.
Wat Dir braucht fir ze maachen
De gréisste Risiko ass, datt d'Attacker geklaut Passwierder a Schlësselen benotzen. Maacht dat Folgend sou séier wéi méiglech, och wann alles op Ärem Server normal ausgesäit.
- Krypto-Portemonnaien als éischt. Wann de Server Portemonnaien oder Seed-Phrasen hat, réckelt d'Suen op nei Portemonnaien, déi op engem aneren, propperen Apparat erstallt goufen.
- Ännert Äert Root-Passwuert wann Dir et iwwer de Panel agestallt hutt an et zënterhier net méi geännert hutt.
- Wiesselt op SSH-Schlëssel-Login an de Passwuert-Login deaktivéieren.
- All Geheimnisser, déi um Server gespäichert sinn, rotéieren: Benotzer- a Datebankpasswierder, SSH-Schlësselen, API-Schlësselen an Tokens, Zougang zu Cloud-Servicer, CI/CD, E-Mail, Bezuelsystemer an KI-Servicer.
- Al Schlësselen zréckzéien amplaz just nei ze kreéieren: a Cloud-Konsolen, GitHub, GitLab a mat Bezuelungsanbieter.
- Kontrolléiert de Server: onbekannte Benotzer, Schlësselen aginn
~/.ssh/authorized_keys, Cron-Jobs, onbekannt Prozesser a Systemd-Servicer. - Login-Logbicher kontrolléieren um Server an an de Servicer, deenen hir Schlësselen drop gespäichert goufen: sicht no Logins vun onbekannte Adressen no dem 11. Oktober.
Wann Dir Serveren mat anere Provider hutt, déi VMmanager 6 lafen, maacht och do déiselwecht Schrëtt.
Brauch Hëllef?
Hutt Dir eppes Verdächteges op Ärem Server fonnt, oder sidd Dir net sécher? Kontaktéiert eisen Support-Team - mir hëllefen Iech, et ze léisen an de Server nei z'installéieren, wann néideg.
Mir entschëllegen eis fir d'Onbequemlechkeeten, dorënner d'Zäit ouni Zougang zum Panel. Mir wäerten dësen Artikel aktualiséieren, soubal nei Informatioune vum Verkeefer verfügbar sinn, a wäerten eng detailléiert Autopsie publizéieren, soubal d'Enquête ofgeschloss ass.
