Plesk-hackers slaan toe bij diverse klanten Hostnet

Hackers hebben in de afgelopen weken op diverse servers van Hostnet ingebroken via een lek in beheertool Plesk. Hierbij zijn inloggegevens van klanten buitgemaakt. Het hostingbedrijf roept de getroffen klanten op hun wachtwoorden te wijzigen.

De aanvallers zijn de servers binnengekomen via een ernstig lek in Plesk, een beheertool voor servers die het mogelijk maakt om een domein via een webinterface te beheren. Het is niet bekend bij hoeveel servers van Hostnet de hackers erin zijn geslaagd om inloggevens te bemachtigen en hoeveel klanten dit dan treft. Naar eigen zeggen heeft Hostnet meer dan 165.000 klanten. Hostnet heeft de klanten waarvan het bedrijf weet dat ze getroffen zijn, persoonlijk geïnformeerd en vervolgens de andere klanten op de hoogte gebracht.

Volgens Hostnet hebben de aanvallers zich eind januari al toegang verschaft tot de servers. Hoewel niet bekend is om hoeveel getroffen servers het gaat, is het aannemelijk dat dit servers met een kwetsbare versie van Plesk betreft, omdat de update om het lek te dichten pas later uitkwam. Het hostingbedrijf werd zelf pas op 10 februari op de hoogte gebracht van het lek in Plesk en heeft toen het lek gedicht.

"Additionele controle van de desbetreffende systemen gaf op dat moment geen aanleiding om aan te nemen dat het lek actief was misbruikt", aldus Steven Mohamedajoeb, manager operations bij Hostnet. "In de nacht van 4 op 5 maart zagen we echter ineens afwijkend gedrag op enkele servers, omdat deze Facebook begonnen aan te vallen."

Aanvullend onderzoek van het bedrijf wees toen uit dat de aanvallers al op diverse servers hadden toegeslagen. "We hebben zo'n 2000 servers, waarvan het leeuwendeel Plesk draait. Gelukkig blijkt het meerendeel niet vatbaar, omdat de gebruikte Plesk-versie niet vatbaar was of omdat de api-toegang tot Plesk was gelimiteerd."

Mohamedajoeb geeft toe dat nog niet precies duidelijk is hoeveel servers er ten prooi zijn gevallen aan de aanvallers. "Niet elke server is aangeraakt, het lijkt een beetje willekeur. De aanvalspatronen wijzen erop dat ze gebruik hebben gemaakt van geautomatiseerde scripts en dit grondig hadden voorbereid."

Omdat de aanvallers een lek in de api van Plesk hebben misbruikt, hebben ze zich bovendien eenvoudig toegang kunnen verschaffen tot inloggegevens van andere domeinen als ze eenmaal een kwetsbaar domein hadden gevonden. "Ons onderzoek is nog niet afgerond, maar het lijkt erop dat de aanvallers via een kwetsbaar domein door het gebruik van de Plesk-api eenvoudig in staat waren om ook de gegevens van andere domeinen op die server in handen te krijgen."

De aanvallers hebben in de afgelopen weken ongestoord hun gang kunnen gaan. De totale omvang van de aanvalsoperatie is dan ook nog niet te overzien. Duidelijk is al wel dat zowel in Nederland als wereldwijd diverse hostingbedrijven slachtoffer zijn geworden. Eerder deze week bleek al dat ook klanten van Proserve gehackt waren. Ook bij dit hostingbedrijf werden gecompromitteerde servers ingezet om Facebook aan te vallen, wat de aanvallers deze week ook kortstondig lijkt te zijn gelukt.