Хакеры выполнили атаку по цепочке поставок, перехватив интернет-маршрутизационное пространство, используемое для обновлений программного обеспечения облака. Используя уязвимости безопасности маршрутизации в Hetzner Online и процессы сертификатов TLS, атакующие gained control of IP-адресов, назначенных Softaculous. Softaculous — компания с sede в ОАЭ за Virtualizor. С контроля этих IP-адресов, угрозные акторы.push malware, disguised as legitimate updates, to unsuspecting users. Softaculous подтвердил, что их клиенты обновлений не进行 cryptographic проверку пакетов, позволяя malicious обновлениям быть приняты.

Lax configuration by Hetzner Online позволила захватчикам периодически перенаправлять трафик по двум диапазонам IP в течение окна в 33 часа. Hetzner reclaiming the space 12 hours after the initial hijack, only for the attacker to execute a second hijack, which took nearly 10 hours to stop. Downstream transit peer Zet.net and Softaculous itself failed to monitor their systems, missing the attack for 22 hours.

BGP expert Ben Cartwright-Cox called the lapses silly, preventable mistakes. The incident highlights critical failures in routing security and update validation across multiple networks.