Den zweiten Einbruch verübte ShinyHunters laut BleepingComputer am 7. Mai – unter Ausnutzung derselben Schwachstelle wie beim ersten Vorfall. Die Gruppe schleuste schädliches JavaScript ein, das XSS-Fehler in Funktionen für nutzergenerierte Inhalte ausnutzte. Dadurch erlangte sie Zugriff auf authentifizierte Administrator-Sitzungen und konnte privilegierte Aktionen ausführen.
In einer E-Mail an BleepingComputer bestätigte Instructure, dass das ausgenutzte Sicherheitsproblem die Umgebung „Free-for-Teacher" betraf – die kostenlose, eingeschränkte Variante von Canvas LMS für einzelne Lehrkräfte. „Der unbefugte Akteur nahm Änderungen an den Seiten vor, die einigen Studierenden und Lehrkräften beim Login über Canvas angezeigt wurden", erklärte das Unternehmen.
Nach eigenen Angaben nahm Instructure Canvas vorübergehend offline, um die Ausbreitung der schädlichen Aktivität zu verhindern, die Ursache zu ermitteln und zusätzliche Schutzmaßnahmen einzurichten. ShinyHunters nutzte die Lücke, um eine Nachricht auf den Canvas-Login-Portalen zu platzieren, in der dem Unternehmen und den Schulen, die die Plattform einsetzen, eine Frist bis zum 12. Mai gesetzt wurde, um Kontakt aufzunehmen und über ein Lösegeld zu verhandeln.
Die „Free-for-Teacher"-Konten hat Instructure bis zur Behebung der Probleme abgeschaltet. Canvas selbst ist seit dem 9. Mai wiederhergestellt und nutzbar.
Beim Defacement der Login-Portale wurden nach Darstellung keine Daten kompromittiert. Die beim ersten Einbruch von ShinyHunters abgezogenen Daten umfassen hingegen vermutlich Benutzernamen, E-Mail-Adressen, Kursbezeichnungen, Anmeldeinformationen zu Kursen sowie Nachrichten.
Nach Angaben von ShinyHunters betrifft der Vorfall 8.809 Bildungseinrichtungen – Schulen, Universitäten, Hochschulen und Online-Plattformen. Die Angreifer behaupten, 275 Millionen Datensätze von Studierenden, Lehrkräften und weiterem Personal entwendet zu haben.