Les pirates ont exécuté une attaque en chaîne d'approvisionnement en piratant l'espace de routage Internet utilisé pour les mises à jour du logiciel de gestion cloud. En exploitant les failles de sécurité du routage chez Hetzner Online et les processus de certificats TLS, les attaquants ont obtenu le contrôle des adresses IP affectées à Softaculous, une entreprise basée aux Émirats arabes Unis derrière Virtualizor. Avec le contrôle de ces IP, les acteurs malveillants ont poussé du malware déguisé en mises à jour légitimes à des utilisateurs inattendus.

Softaculous a confirmé que ses clients de mise à jour ne vérifiaient pas cryptographiquement les paquets, permettant aux mises à jour malveillantes d'être acceptées. Une configuration lâche par Hetzner Online a permis aux pirates de détourner intermittemment le trafic sur deux plages IP dans une fenêtre de 33 heures. Hetzner a récupéré l'espace 12 heures après le piratage initial, seulement pour que l'attaquant exécute un deuxième piratage, qui a pris près de 10 heures pour être arrêté.

Le pair de transit descendant Zet.net et Softaculous lui-même ont échoué à surveiller leurs systèmes, manquant l'attaque pendant 22 heures. L'expert BGP Ben Cartwright-Cox a appelé les erreurs des bêtises évitables. L'incident met en lumière des échecs critiques en matière de sécurité de routage et de validation des mises à jour à travers plusieurs réseaux.