Der Angriff funktionierte, weil zwei Schutzmechanismen fehlten oder unterlaufen wurden. Während des Umleitungsfensters beschaffte sich der Angreifer ein gültiges Let’s-Encrypt-Zertifikat, sodass Verbindungen über den fremden Server keine Zertifikatswarnung auslösten. Zugleich verfügte der Update-Client über keine kryptografische Paketprüfung — er konnte das veränderte Paket also nicht auf dieser Grundlage zurückweisen. Jede Virtualizor-Installation, die in einem umgeleiteten Intervall nach Updates suchte, konnte das manipulierte Paket erhalten.
Nach Darstellung des AlbaHost-Kontos wurden bösartige Befehle in drei legitime Virtualizor-Dateien eingefügt; ein Root-Cronjob führte den veränderten Code später aus. „Wir können bestätigen, dass 5 unserer 34 Virtualizor-Hypervisor-Knoten dieselben bösartigen Veränderungen enthielten, wie sie in diesem Thread beschrieben werden", schrieb der Anbieter.
Der eingefügte Code hinterlegte einen vom Angreifer kontrollierten Schlüssel im Root-Konto, installierte Java 17, falls die Laufzeitumgebung fehlte, lud eine Java-Nutzlast herunter und führte sie als Root aus. Die Nutzlast verankerte sich über einen systemd-Dienst und legte ein unautorisiertes Konto namens proxyuser an. In den Protokollen des Anbieters findet sich eine erfolgreiche passwortbasierte SSH-Anmeldung an diesem Konto von der Adresse 193.32.127[.]248.
In seiner untersuchten Umgebung hat AlbaHost weder eine bestätigte Veränderung an virtuellen privaten Servern von Kunden noch — unabhängig bestätigt — einen Datenbank-Export festgestellt. Virtualizor weist zudem darauf hin, dass Sitzungen im Kundenbereich und Verkehr bei der Eingabe von Zahlungsdaten während des Umleitungsfensters den vom Angreifer betriebenen Server erreicht haben könnten. Ein bestätigter Diebstahl von Kundenkonten oder Zahlungsdaten wurde bis zum 2. September nicht gemeldet.
Am 1. September veröffentlichte Virtualizor Patch 9 samt einem Security Analyzer, der bekannte Kompromittierungsindikatoren prüft. Die kryptografische Paketsignierung bleibt laut Hersteller allerdings künftige Arbeit. Die Bezeichnungen der Veröffentlichung weichen voneinander ab: Die Vorfallsmeldung nennt Virtualizor 3.2.9.9, die Release Notes sprechen von Virtualizor 3.2.9 (Release Candidate und Stable Branch) (Patch 9); der Analyzer wurde beiden Zweigen hinzugefügt.
Bis zum 2. September hatte Virtualizor weder einen Dateinamen oder Hash des bösartigen Pakets noch eine Liste betroffener Update-Kanäle oder einen Build mit erzwungener Paketsignierung veröffentlicht.
Betreibern empfiehlt der Hersteller, den offiziellen Scanner auszuführen, API-Zugangsdaten zu rotieren und einzuschränken sowie jeden Server auf Persistenzmechanismen und unbefugte Zugriffe zu prüfen. Veränderte Kerndateien von Virtualizor müssen aus vertrauenswürdigen Inhalten wiederhergestellt oder neu installiert werden. Für Hosts mit bestätigter Root-Kompromittierung sei ein vollständiger Neuaufbau die einzige zuverlässige Sanierung auf Dauer, so das AlbaHost-Konto.