Что произошло

Разработчик платформы виртуализации VMmanager компания ISPsystem (входит в «Группу Астра») сообщила о закрытии уязвимости нулевого дня, которую злоумышленники использовали для атаки на крупного российского хостинг-провайдера FirstVDS. По данным компании, брешь была связана с особенностью работы nginx, которая позволяла пропускать специально сформированные запросы в обход защитных механизмов. Под угрозой оказалась сборка VMmanager 6 Hosting — именно её хостинг-провайдеры используют для выдачи клиентам виртуальных машин в открытом контуре.

Атака с применением искусственного интеллекта

Особенность инцидента в том, что, по данным расследования, атакующие активно применяли алгоритмы искусственного интеллекта. ИИ помогал:

  • адаптировать тактику атаки под конкретного хостинг-провайдера;
  • параллельно перебирать разные векторы проникновения;
  • ускорять этапы разведки и эксплуатации уязвимости.

В расследовании приняла участие «Лаборатория Касперского»: специалисты Kaspersky Incident Response и Threat Research передали ISPsystem индикаторы компрометации, а также утилиту KVRT для поиска и очистки вредоносных файлов. По словам представителя «Лаборатории Касперского» Александра Лискина, вредоносное ПО в этой атаке было написано с помощью ИИ, что делает подобные инциденты заметно опаснее — автоматизация снижает порог входа даже для менее опытных злоумышленников.

Что сделала ISPsystem

Компания описала многоступенчатую реакцию на инцидент:

  • выпуск внеплановых обновлений безопасности и переработка защитной архитектуры VMmanager;
  • временная блокировка удалённого управления и запуска внутренних скриптов для ограничения действий атакующих;
  • круглосуточное реагирование и усиление технической поддержки клиентов;
  • обновления безопасности также получили смежные продукты — DCImanager, BILLmanager и DNSmanager.

Эффективность патчей проверялась на специально развёрнутых стендах, имитирующих инфраструктуру провайдеров в открытом контуре: часть стендов содержала исправления, часть оставалась намеренно уязвимой. По данным ISPsystem, злоумышленники выполнили более 10 тыс. запросов на одну тестовую установку, но ни одна атака на защищённые стенды не увенчалась успехом.

Зачем нужна платформа VMmanager

VMmanager — это панель управления виртуализацией, которую хостинг-провайдеры и облачные операторы используют для автоматизации выдачи, настройки и биллинга виртуальных машин клиентам. Для хостера такая платформа — это, по сути, витрина и операционное ядро бизнеса одновременно: через неё проходит создание новых ВМ, управление ресурсами и доступ к инфраструктуре тысяч конечных пользователей. Именно поэтому уязвимость в подобном продукте опаснее, чем брешь в одном изолированном сервисе — она потенциально открывает доступ сразу к множеству клиентских сред.

Почему это важно для рынка хостинга и облаков

Инцидент с FirstVDS показывает тенденцию, которую в отрасли обсуждают уже не первый год: атаки на инфраструктурное ПО становятся более целевыми и технологичными, а использование ИИ самими злоумышленниками переводит гонку между атакующими и защитниками в новую фазу. Для провайдеров это сигнал пересматривать модель доверия к управляющим панелям и чаще обновлять защитные механизмы — а для вендоров, как показывает пример ISPsystem, всё более востребованным становится переход от разовых патчей к постоянному циклу управления уязвимостями.

Дальнейшие шаги вендора

В ISPsystem сообщили, что по итогам инцидента перестраивают жизненный цикл управления уязвимостями: компания переходит к превентивному экспресс-реагированию и внедряет непрерывный ИИ-пентест — то есть регулярную автоматизированную проверку собственных продуктов на устойчивость к атакам, в том числе с применением тех же технологий, что используют злоумышленники. Генеральный директор ISPsystem Павел Гуральник отметил, что расследование продолжается, а безопасность в компании рассматривают как непрерывный процесс, а не разовую задачу. Гендиректор FirstVDS Алексей Щербаков подтвердил, что инцидент затронул часть инфраструктуры хостинг-провайдера и локализация последствий ведётся совместно с ISPsystem.

Итог: Инцидент с VMmanager — один из первых публично разобранных в России случаев атаки на инфраструктурное ПО с заметным применением ИИ на стороне злоумышленников. Он демонстрирует, что защита облачной и хостинговой инфраструктуры требует не только патчей постфактум, но и постоянного проактивного тестирования — а быстрая и прозрачная реакция вендора в таких случаях становится важным конкурентным фактором на рынке.

Читайте также:

ISPsystem входит в число вендоров инфраструктурного ПО, решения которых распространяет МОНТ — по платформе VMmanager и смежным продуктам компания готова организовать консультацию, демонстрацию или пилотный проект для хостинг-провайдеров и облачных операторов.