Nach Angaben von FirstVDS setzten die Angreifer an VMmanager 6 an, einer Virtualisierungs-Verwaltungsplattform des russischen Softwareherstellers ISPsystem. Mit ihr verwalten Hosting-Anbieter virtuelle Maschinen über mehrere physische Server hinweg. Anschließend brachten die Täter Schadsoftware ein, die Daten von den virtuellen Servern der Kunden kopierte — darunter Passwörter, Zugangsdaten zu Cloud-Diensten, Konfigurationsdateien, Kryptowährungs-Wallets und weitere Dateien. Die kopierten Informationen wurden an einen von den Angreifern kontrollierten Server übertragen.
Die virtuellen Maschinen selbst wurden dabei nach Darstellung des Unternehmens nicht direkt kompromittiert: Die Schadsoftware band deren Datenträger im Nur-Lese-Modus ein und konnte so Informationen auslesen, ohne Dateien zu verändern oder den laufenden Betrieb zu beeinträchtigen. „Dadurch gibt es auf den betroffenen virtuellen Servern keine Spuren des Angriffs, sie laufen weiterhin normal", erklärte das Unternehmen.
FirstVDS teilte mit, nur ein Teil der Infrastruktur sei betroffen, machte aber keine Angaben dazu, wie viele Kunden oder Server kompromittiert wurden. Kunden, die eine Benachrichtigung über den Vorfall erhalten haben, sollten davon ausgehen, dass die auf ihren Servern gespeicherten Daten gestohlen wurden; das Unternehmen forderte sie auf, Passwörter und Zugangsdaten zu ändern.
Der externe Zugriff auf das verwundbare Verwaltungssystem wurde nach Unternehmensangaben abgeschaltet, die Kommunikation mit dem Server der Angreifer blockiert. ISPsystem hat seit dem Vorfall mehrere Patches veröffentlicht, darunter ein Update, das in der Nacht zu Montag ausgeliefert wurde. Vollständig behoben ist die Schwachstelle nach Darstellung von FirstVDS jedoch noch nicht. Der Softwarehersteller rät davon ab, den Zugang zur Verwaltungsoberfläche wiederherzustellen, bevor weitere Sicherheitsupdates verfügbar sind.
Laut Statusseite des Dienstes arbeitete FirstVDS am Montag weiterhin mit Einschränkungen, unter anderem waren Funktionen von VMmanager nur eingeschränkt verfügbar.
FirstVDS ist seit 2002 aktiv und gehört zu den ältesten Hosting-Anbietern Russlands. Das Unternehmen vermietet virtuelle private Server, auf denen Kunden Websites, Anwendungen, Datenbanken und andere Onlinedienste betreiben; es bietet auch Server außerhalb Russlands an, unter anderem in den Niederlanden und in Kasachstan.
Offen blieb, wie die Angreifer die Schwachstelle zunächst ausnutzten, welche Softwareversionen betroffen sind und ob die erbeuteten Daten bereits für weitere Angriffe genutzt wurden. Identität und Motive der Täter sind unbekannt.