Hallo liebe Foren-User und Hardwareluxx-Leser,
das waren harte Stunden für uns! Gegen 01:00 Uhr hat am 05.08. ein - wohl automatisierter - Einbruch auf einem vSphere-Server unseres Hosters stattgefunden. Ziel: Alles verschlüsseln, Bitcoin betrügen. Der Angriff führte dazu, dass auf den angeschlossenen ESX-Servern Daten verschlüsselt worden sind. Trotz relativ frühem Entdecken während des Angriffs hatten wir Pech: Unter den verschlüsselten VMs waren leider auch noch VMs von Hardwareluxx - die dummerweise auch noch ohne Snapshots vorhanden waren, weil wir just zu dieser Zeit alles auf unseren PMXX umziehen wollten. Eine Woche später wäre vielleicht gar nichts mehr passiert...
... aber so haben wir die letzten Stunden richtig gelitten. Wir mussten aus einem Backup die kompletten Daten ziehen - und das von einem Backup-Server, der natürlich nicht zig SSDs besitzt, sondern nur ein RAID-Array aus Festplatten. Das hat gedauert, inkl. Portierung auf Proxmox, was wir aufgrund des Umstandes gleich mitgemacht haben. Glücklicherweise ist der letzte Backup-Stand sehr nah an der Verschlüsselung (4h), insofern sollten kaum Posts oder ähnliches verloren gegangen sein.
Insofern ist es uns gelungen, die VMs alle wieder zu restoren - hier und da kann es wegen anderer Einstellungen aber noch ruckeln. Wir müssen sicherlich noch ein paar Einstellungen für Proxmox optimieren.
Wichtig ist mir: Zum einen werden wir zusammen mit unserem Hoster den Fall Richtung BSI melden, aber bislang sind nach ersten Analysen uns keine Informationen unter gekommen, dass Daten von Kunden oder ähnliches abhanden gekommen sind. Downloads scheinen nicht vorgenommen worden zu sein und so wie es aussieht, wusste der Angreifer auch nicht, auf was für Systemen er sich befand. Wir prüfen dies allerdings weiterhin - der Focus war erst einmal auf der Wiederherstellung der Produktivsysteme. Sollte es hinsichtlich der Forensik andere Erkenntnisse geben, melden wir dies zügig.
Danke für Euer Verständnis!
Mit und nach dem ersten Fragezeichen den Rest löschen.
