Bij de aanval op softwareleverancier SolarWinds hebben ongeveer 18.000 klanten officiële updates geïnstalleerd die van een backdoor waren voorzien. Dat heeft het bedrijf aan de Amerikaanse beurswaakhond SEC laten weten.

SolarWinds is aanbieder van het Orion Platform dat uit allerlei producten bestaat voor het monitoren en beheren van it-omgevingen. Aanvallers wisten toegang tot systemen van SolarWinds te krijgen en zo legitieme updates van het Orion Platform van een backdoor te voorzien. De besmette updates werden tussen maart en juni van dit jaar via de servers van SolarWinds aangeboden.

Volgens SolarWinds hebben de aanvallers toegang gekregen tot het Orion 'software build system' en konden zo de backdoor aan de updates toevoegen, die vervolgens bij klanten werden geïnstalleerd. SolarWindows stelt dat het meer dan 300.000 klanten heeft. Daarvan maken er 33.000 gebruik van het Orion Platform. Het aantal Orion-klanten dat de besmette updates ook heeft gedownload "is minder dan 18.000", aldus de verklaring.

Verder meldt SolarWinds dat het werkt met Microsoft Office 365 voor e-mail en productiviteitstools en dat er een niet nader genoemde aanvalsvector is gebruikt voor het compromitteren van e-mails. Daarmee hebben de aanvallers mogelijk ook toegang gekregen tot data van de productiviteitstools. In samenwerking met Microsoft heeft SolarWinds deze inbraak verholpen en wordt er onderzocht of die iets te maken heeft met de aanval op het Orion Platform.

Zodra de backdoor actief was installeerden de aanvallers aanvullende malware, infecteerden andere machines in het netwerk en probeerden data te stelen. SolarWinds heeft al een hotfix voor besmette versies van de software uitgebracht en volgt morgen met een tweede hotfix. Securitybedrijf FireEye, dat vorige week melding maakte van een inbraak op het eigen netwerk, heeft laten weten dat het door middel van de SolarWinds-backdoor werd gecompromitteerd. Ook twee Amerikaanse ministeries zouden slachtoffer zijn geworden.