Russisch cloudbedrijf Beget moest zijn infrastructuur volledig herbouwen na een malware-aanval die serverdata wist.
Het Russische cloudbedrijf Beget heeft zijn cloudinfrastructuur volledig moeten herbouwen na een aanval met data-wiper malware. Op de avond van 1 november kreeg de aanvaller toegang tot de managementsystemen van de gehele architectuur van het bedrijf en zette malware in die serverdata wist.
Beget ontdekte de aanval kort nadat de malware actief werd en schakelde direct alle servers uit het netwerk om verdere verspreiding te voorkomen. Het bedrijf, dat meer dan 200.000 klanten bedient, waaronder webshops, media en onderwijsinstellingen, meldt dat ruim een week na de aanval 60% van de shared hosting en 40% van de dedicated servers is hersteld. Het herstelproces is nog gaande.
In een gedetailleerde verklaring van 3 november gaf Beget aan dat de aanvaller toegang had gekregen tot de managementlaag van de volledige architectuur en vervolgens scripts uitvoerde die data volledig wisten. Alle data binnen de cloudinfrastructuur, waaronder VPS, S3 en Kubernetes, ging verloren, evenals CDN-instellingen en IP-configuraties. Back-ups van VPS-binaries zijn volledig verloren gegaan, terwijl VPS-bestandsback-ups gedeeltelijk bewaard zijn gebleven. Volgens een beoordeling van 6 november zijn deze back-ups beschikbaar voor ongeveer de helft van de VPS-gebruikers.
Beget gaf aan dat het onmogelijk is om alle data te herstellen en dat het technisch complex is om back-ups aan specifieke gebruikers te koppelen. Het herstel is omvangrijk, met ongeveer 1.000 servers die handmatig gecontroleerd moeten worden op kwetsbaarheden en verborgen scripts voordat ze weer online kunnen. Het bedrijf behandelt alle onderdelen van de infrastructuur als mogelijk geïnfecteerd en werkt alle kwetsbare punten grondig na, ook die welke eerder niet als risicovol werden beschouwd.
Uit het onderzoek van Beget blijkt geen bewijs dat de aanvaller data heeft gedownload of gewijzigd; de aanval was gericht op vernietiging. Het bedrijf heeft de politie en overheidsinstanties geïnformeerd en werkt samen met cybersecuritybedrijven om het incident te verhelpen en het herstel te versnellen.
