Hackers hebben via een kwetsbaarheid in VMmanager 6 klantgegevens van de Russische hostingprovider FirstVDS buitgemaakt, waaronder wachtwoorden en cloudcredentials.
Hackers hebben wachtwoorden, toegangscodes en andere gevoelige klantgegevens gestolen bij de Russische hostingprovider FirstVDS. Dit gebeurde nadat zij een kwetsbaarheid in de software VMmanager 6 wisten te exploiteren, een platform voor virtualisatiebeheer ontwikkeld door ISPsystem. De aanval, die op zaterdag werd ontdekt, trof een deel van de infrastructuur van FirstVDS en stelde de aanvallers in staat om data van virtuele servers van klanten te kopiëren zonder de werking van deze servers te verstoren.
FirstVDS, een van de oudste Russische hostingproviders die sinds 2002 actief is, verhuurt virtuele private servers voor websites, applicaties en databases. De getroffen software, VMmanager 6, wordt gebruikt om virtuele machines over meerdere fysieke servers te beheren. De aanvallers plaatsten malware die de schijven van de virtuele servers in alleen-lezen modus monteerde, waardoor zij data konden kopiëren zonder sporen achter te laten of de normale werking te beïnvloeden. Zo konden zij onder meer wachtwoorden, cloudservice-credentials, configuratiebestanden en cryptocurrency-wallets buitmaken. De gestolen gegevens werden overgezet naar een server die door de aanvallers werd beheerd.
FirstVDS heeft aangegeven dat slechts een deel van de infrastructuur getroffen is, maar maakte niet bekend hoeveel klanten of servers precies zijn gecompromitteerd. Klanten die een melding van het datalek ontvingen, wordt geadviseerd hun wachtwoorden en toegangscodes te wijzigen. De hostingprovider heeft de externe toegang tot het kwetsbare beheersysteem uitgeschakeld en de communicatie met de server van de aanvallers geblokkeerd. ISPsystem heeft inmiddels meerdere patches uitgebracht, waaronder een update die maandagavond werd uitgerold, maar de kwetsbaarheid is volgens FirstVDS nog niet volledig verholpen. Het advies van de softwareleverancier is om de toegang tot de managementinterface niet te herstellen totdat verdere beveiligingsupdates beschikbaar zijn.
Op het moment van schrijven werkt FirstVDS nog met beperkingen, waaronder een beperkte beschikbaarheid van functies binnen VMmanager, zoals te zien is op hun statuspagina. Over de wijze waarop de aanvallers de kwetsbaarheid precies hebben geëxploiteerd, welke softwareversies betroffen zijn en of de gestolen gegevens voor verdere aanvallen zijn gebruikt, is niets bekendgemaakt. De identiteit en motieven van de hackers blijven onbekend.
