Om het internet een veiligere plek te maken, heeft de Apache Software Foundation in alle openheid verklaard hoe aanvallers eind augustus verschillende servers wisten te hacken en wat het gaat doen om herhaling te voorkomen. Zoals in eerste instantie al werd aangenomen, begon de aanval met het overnemen van de server die apachecon.com host. De machine draaide CentOS en Apache vermoedt dat de aanvallers een recente local root exploit hebben gebruikt om hun rechten te verhogen. Aangezien de logs werden vernietigd, is het lastig om vast te stellen wat er precies op de machine gebeurde.

De server in kwestie wordt beheerd door de ApacheCon conference productiemaatschappij. Verschillende Apache Software Foundation leden hadden accounts op deze machine, waaronder één voor het maken van backups. De aanvallers probeerden tevergeefs om met wachtwoorden van de gehackte ApacheCon machine op de productie webservers in te loggen. Via de SSH-sleutel van het backup account wisten ze uiteindelijk toegang tot people.apache.org te krijgen. Dit account was van een "unprivileged user", gebruikt voor het maken van backups van de ApacheCon host.

Zodra de aanvallers shell toegang hadden, voegden ze CGI scripts aan de document root folder van verschillende websites toe. Een gepland rsync proces kopieerde deze scripts naar de productie webserver, eos.apache.org, waar ze uiteindelijk door de aanvallers werden aangeroepen. Toen de scripts ontdekt werden, haalde Apache alle mogelijk getroffen servers offline. Het heeft nu vastgesteld dat geen enkele download, gebruiker of code repository door de aanval risico heeft gelopen.

SSH implementatie
Apache is zeer te spreken over het gebruik van ZFS snapshots om de webservers weer te herstellen. Ook de redundante services op twee locaties en het gebruik van verschillende besturingssystemen, werkten naar behoren. In het laatste geval maakte dit het lastiger voor de aanvallers om hun rechten op meerdere machines te verhogen. Wat niet werkte was het gebruik van SSH-sleutels. De gebruikte implementatie liet volgens Apache veel te wensen over. Zo werden de SSH-sleutels niet voldoende beperkt en was men niet op de hoogte van het misbruik. Ook de mogelijkheid om CGI scripts in elke virtual host te draaien, ook al hebben de meeste websites van Apache dit niet nodig, vormde een onnodig risico. Verder betreurt men ook het bewaren van logs op de machine, waardoor de aanvallers die konden verwijderen om hun sporen te wissen.

Om herhaling te voorkomen neemt Apache verschillende maatregelen, zoals het opnieuw aanmaken en gebruiken van nieuwe SSH-sleutels, het instellen van toegangsbeperkingen, IP banning, gecentraliseerde logging en nog een aantal andere zaken, zoals het audit verslag duidelijk maakt. Negen jaar geleden wisten Nederlandse hackers Apache al een keer te defacen.