Hacker führten eine Lieferkettenattacke durch, indem sie das Internet-Routing-Raum übernahmen, der für Cloud-Software-Updates verwendet wird. Durch Ausnutzen von Routing-Sicherheitslücken bei Hetzner Online und TLS-Zertifikatsprozesse erlangten Angreifer die Kontrolle über IP-Adressen, die Softaculous, einem UAE-basierten Unternehmen hinter Virtualizor, zugewiesen waren. Mit Kontrolle dieser IPs drängten Bedrohungsakteure Malware als legitime Updates an unvorsichtige Nutzer.

Softaculous bestätigte, dass ihre Update-Clients Pakete nicht kryptografisch überprüften, sodass bösartige Updates akzeptiert wurden. Eine lockere Konfiguration durch Hetzner Online erlaubte Entführern, intermittierend Traffic über zwei IP-Bereiche innerhalb eines 33-Stunden-Fensters umzuleiten. Hetzner holte den Raum 12 Stunden nach der initialen Entführung zurück, nur um dass der Angreifer einen zweiten Entführungsversuch durchführte, der fast 10 Stunden dauerte, um gestoppt zu werden.

Downstream-Transit-Peer Zet.net und Softaculous selbst überwachten ihre Systeme nicht und verpassten den Angriff für 22 Stunden. BGP-Experte Ben Cartwright-Cox nannte die Versäumnisse dumm, verhinderbare Fehler. Das Ereignis hebt kritische Versäumnisse in der Routing-Sicherheit und Update-Validierung über mehrere Netzwerke hervor.