De aanvallers achter de wereldwijde SolarWinds-aanval hebben een deel van de broncode van Mimecast gestolen, zo heeft het securitybedrijf zelf in een 'incident report' bekendgemaakt. Mimecast biedt verschillende diensten voor het synchroniseren, monitoren en beveiligen van e-mailaccounts.

In januari bleek dat het securitybedrijf slachtoffer van een aanval was geworden en aanvallers toegang tot productiesystemen hadden gekregen. Uit onderzoek blijkt dat de aanval plaatsvond via de SolarWinds-backdoor. Net als tienduizenden andere organisaties maakte Mimecast gebruik van het SolarWinds Orion-platform voor het beheer van de it-omgeving. Het was één van de bedrijven die een besmette SolarWinds-update installeerde die van een backdoor was voorzien.

Via deze backdoor kregen de aanvallers toegang tot de productieomgeving van het securitybedrijf. Zo konden de aanvallers verschillende door Mimecast uitgegeven certificaten stelen en gerelateerde informatie om verbinding met de servers van klanten te maken. Ook kregen de aanvallers e-mailadressen en andere contactgegevens van klanten in handen, alsmede gehashte en gesalte wachtwoorden.

Verder blijkt dat de aanvallers toegang tot een deel van de broncode van Mimecast kregen en die hebben gedownload. Volgens het securitybedrijf zijn er geen aanwijzingen gevonden dat de aanvallers broncode hebben aangepast of dat dit gevolgen heeft gehad voor de beveiligingsproducten van het bedrijf.

De certificaten die bij Mimecast werden gestolen gebruikten de aanvallers voor aanvallen op klanten van het securitybedrijf. Organisaties installeren de certificaten op hun eigen server om zo een verbinding tussen de Mimecast-diensten en Microsoft 365 Exchange mogelijk te maken. Via de gestolen certificaten kregen de aanvallers toegang tot de Microsoft 365-omgevingen van "een klein aantal" klanten, aldus een verklaring van het securitybedrijf.

Naar aanleiding van de aanval heeft Mimecast besloten om te stoppen met het gebruik van de SolarWinds-software. Verder zijn van alle medewerkers de wachtoorden aangepast en het gebruik van hardwarematige tweefactorauthenticatie om toegang tot productiesystemen te krijgen uitgebreid. Tevens zijn alle gecompromitteerde servers volledig vervangen.