Espelkampissa toimiva webhotelli Mittwald kertoo murrosta ja sen selvittelystä tilasivullaan ja kysymys–vastaus-sivullaan. Saksalainen teknologiamedia heise online raportoi 12.11., että yhtiö on viikko ensimmäisen hyökkäyksen jälkeen yhä kriisitilassa.

Mitä MCP-palvelimen kautta saatiin

MCP-palvelin oli Mittwaldin mukaan rajapinta, jonka kautta asiakkaat pystyivät kytkemään yhtiön hallintaympäristön mStudion tekoälyavustajiin. Yhtiö havaitsi 4.11. omissa analyyseissään, että palvelimeen oli päästy luvatta 27.10. Hyökkääjä luki rajapinnan käyttäjien pääsytunnisteita (token).

Tunniste antoi pääsyn mStudioon käyttäjän oikeuksilla ja niihin projekteihin, joihin käyttäjälläkin oli pääsy. Mittwald tarkistaa jokaisen tällaisen projektin erikseen ja sulkee väliaikaisesti ne, joista löytyy hyökkääjän jälkiä. Varotoimena se on poistanut käytöstä pienen osan projekteista. Salasanoja ei yhtiön mukaan viety, ja tunnisteet on mitätöity. Yhtiön selityksen mukaan murto huomattiin vasta viikon päästä, koska hyökkääjä naamioi valmistelunsa käyttäjien tavalliseksi toiminnaksi.

Mittwald ilmoittaa asianosaisille henkilökohtaisesti sähköpostilla. Se neuvoo MCP-palvelinta käyttäneitä vaihtamaan mStudion salasanan ja ottamaan kaksivaiheisen tunnistautumisen käyttöön. Lisäksi heidän pitää tarkistaa projektiensa API-avaimet, projektitunnisteet ja SSH-avaimet, poistaa tuntemattomat merkinnät ja uusia projekteihin tallennetut kolmansien osapuolten tunnukset. Epäilyttäviä ovat yhtiön mukaan erityisesti SSH-käyttäjät, joita asiakas ei ole itse luonut. Yhtiö pitää jokaista palvelimen käyttöä 27.10. alkaen mahdollisesti vaarantuneena.

MCP-palvelin pysyy toistaiseksi suljettuna, ja Mittwald tarjoaa sen tilalle CLI-työkaluaan. Jos asiakas ei ole saanut sähköpostia eikä ole ottanut MCP-palvelinta käyttöön, hänen ei yhtiön nykytiedon mukaan tarvitse toimia, mutta yhtiö suosittelee kaksivaiheista tunnistautumista.

Toinen hyökkäysaalto 12.11.

Mittwald avasi mStudion ja SSH-yhteydet uudelleen 7.11. Yhtiön mukaan hyökkääjät jatkoivat iskujaan yöllä 12.11., ja Mittwald sulki varotoimena asiakaskeskuksen, mStudion ja kaikki SSH-yhteydet. Yhtiö kuvaa hyökkääjiä ammattilaisiksi, jotka käyttävät automatisoituja tekoälyjärjestelmiä.

Yhtiön omasta verkkosivustosta on ristiriitaisia tietoja. Mittwaldin tilasivun mukaan hyökkääjät hyödynsivät haavoittuvuutta ja vaaransivat sivuston, minkä jälkeen yhtiö otti sen pois verkosta. Heisen nimettömän vihjeen antajan mukaan sivusto töhrittiin hyökkääjien sisällöllä. Mittwald kiisti tämän heiselle: se otti sivuston itse pois verkosta varotoimena, eikä sivustoa kaapattu tai töhritty.

Pääsyä sisäisiin järjestelmiinsä yhtiö ei ollut 12.11. aamuun mennessä havainnut, ja se jatkoi hyökkäystapojen analysointia. Sulku ei Mittwaldin mukaan koske asiakkaiden sivustoja ja sähköposteja. Heisen mukaan asiakkaat valittavat hallintaliittymän ja SSH:n katkoksista.

Mittwald arvioi 12.11. iltapäivällä avaavansa asiakaskeskuksen ja mStudion viimeistään 13.11. kello 11. SSH-esto on yhtiön mukaan voimassa, kunnes tarkistukset ja skannaukset on tehty.