Angreifer nutzten eine Schwachstelle in der Plattform VMmanager 6 von ISPsystem aus, um Dateien von virtuellen Kundenservern des russischen Hosting-Anbieters FirstVDS zu kopieren. Zu den gestohlenen Daten gehörten laut Unternehmensangaben Passwörter, Zugangsdaten für Cloud-Dienste, Konfigurationsdateien und Kryptowallets, wie The Record berichtete.
FirstVDS entdeckte den Einbruch am Samstag und gab ihn am Wochenende bekannt. Das Unternehmen erklärte, dass nur ein Teil seiner Infrastruktur betroffen sei, nannte aber weder die Zahl der Kunden oder Server noch die Zahl der beteiligten Personen.
Kunden, die eine Benachrichtigung über einen Sicherheitsvorfall erhalten, sollten davon ausgehen, dass die auf ihren Servern gespeicherten Daten gestohlen wurden, warnte FirstVDS. Sie sollten ihre Passwörter ändern und offengelegte Zugangsdaten ersetzen, statt sich darauf zu verlassen, dass ihre virtuellen Maschinen weiterlaufen oder scheinbar normal arbeiten.
Angreifer banden virtuelle Festplatten ein, ohne den Betrieb zu stören
VMmanager 6 ist eine Plattform von ISPsystem für die Verwaltung der Virtualisierung. Hosting-Anbieter nutzen sie, um virtuelle Maschinen zu betreiben, die auf physische Server verteilt sind.
Laut FirstVDS missbrauchte die Schadsoftware die Verwaltungsplattform, um die virtuellen Festplatten der Kundenserver im Nur-Lese-Modus einzubinden. Dadurch konnten die Angreifer Dateien kopieren, ohne deren Inhalt zu verändern oder laufende Dienste zu unterbrechen. Die abgezogenen Daten wurden anschließend an eine Infrastruktur übertragen, die die Angreifer kontrollierten.
FirstVDS erklärte, die virtuellen Maschinen selbst seien nicht direkt kompromittiert worden. Auf den betroffenen Servern seien zudem keine „Spuren“ des Angriffs zu finden gewesen, und sie seien normal weitergelaufen. Diese Darstellung verringert jedoch nicht die Gefahr für die Vertraulichkeit: Ein Einbinden im Nur-Lese-Modus kann dazu führen, dass Kunden-Workloads weiterlaufen, während Zugangsdaten und andere sensible Dateien trotzdem offenliegen.
Der Anbieter betreibt Server in Russland, den Niederlanden und Kasachstan. Aus den gemeldeten Angaben geht nicht hervor, welche Hosting-Standorte zum betroffenen Teil der Infrastruktur gehörten.
Die Schwachstelle ist laut FirstVDS noch nicht vollständig behoben
FirstVDS deaktivierte den externen Zugriff auf das verwundbare Verwaltungssystem und blockierte die Kommunikation mit dem Server der Angreifer. Außerdem habe ISPsystem nach dem Einbruch mehrere Patches veröffentlicht, darunter ein Update, das am Montag über Nacht eingespielt wurde.
Laut FirstVDS ist die Schwachstelle jedoch noch nicht vollständig behoben. ISPsystem riet Betreibern, den Zugriff auf die Verwaltungsoberfläche erst dann wieder freizugeben, wenn weitere Sicherheitsupdates verfügbar sind.
Am Montag war FirstVDS noch eingeschränkt im Betrieb, unter anderem war die Verfügbarkeit einiger Funktionen von VMmanager reduziert. Die betroffenen Versionen von VMmanager 6 und die korrigierten Build-Nummern wurden in den gemeldeten Angaben nicht genannt. Administratoren können daher allein anhand einer Versionsprüfung nur eingeschränkt feststellen, ob sie betroffen sind.
Benachrichtigte Kunden sollten offengelegte Zugangsdaten austauschen
Die unmittelbare Maßnahme für benachrichtigte FirstVDS-Kunden besteht darin, den Inhalt ihrer Server als kopiert zu behandeln. Passwortänderungen allein reichen unter Umständen nicht aus, wenn auf dem Server weitere wiederverwendbare Zugangsdaten, Konfigurationsgeheimnisse oder Zugriffsdaten für die Cloud gespeichert waren. Solche Zugangsdaten sollten ebenfalls dort ersetzt werden, wo sie weiterhin gültig sind.
Kryptowallet-Dateien und Konfigurationsdaten erfordern besondere Aufmerksamkeit, weil ihr Kopieren Risiken außerhalb des betroffenen virtuellen Servers auslösen kann. Die gemeldeten Angaben lassen nicht erkennen, ob die gestohlenen Informationen in späteren Angriffen verwendet wurden.
Hosting-Betreiber, die VMmanager 6 einsetzen, sollten der Anweisung von ISPsystem folgen und die Verwaltungsoberfläche so lange gesperrt halten, bis weitere Sicherheitsupdates vorliegen. Eine Wiederherstellung des externen Zugriffs, bevor der Hersteller das Problem als vollständig behoben betrachtet, könnte die verwundbare Verwaltungsebene erneut offenlegen.
