Атакуючыя змаглі падмяніць элементы інфраструктуры кампаніі Softaculous, ажыццявіўшы падстаноўку фіктыўнага маршруту праз пратакол BGP, дзякуючы якому ўдалося перанакіраваць трафік падсеткі з серверамі Softaculous на падкантрольны атакавалым сервер. У выніку напады, сярод іншага, атрымалася перанакіраваць звароты да кліенцкага web-сайту кампаніі, білінгу і серверам распаўсюджвання абнаўленняў для ПА Virtualizor, пасля чаго выкарыстоўваць іх для распаўсюджвання шкоднаснага ПА і напады на кліентаў кампаніі. Атакуючыя змаглі атрымаць праз сэрвіс Let's Encrypt карэктныя TLS-сертыфікаты для даменаў Softaculous, бо аўтаматычная праверка валодання даменамі прайшла праз падмененыя хасты.
Кампанія Softaculous пастаўляе аднайменную платформу для аўтаматызацыі ўстаноўкі web-прыкладанняў, якая інтэгруецца з панэлямі кіравання хостынгам cPanel, Plesk, DirectAdmin і ispmanager, а таксама развівае канструктар сайтаў SitePad, панэль кіравання хостынгам Webuzo, сістэму рэзервовага капіявання Backuply і панэль Virtualizor для кіравання віртуальнымі серверамі. Падчас нападу зламыснікам атрымалася апублікаваць фіктыўнае абнаўленне да панэлі Virtualizor, утрымоўвальнае шкоднасны код. Лік карыстачоў, якія ўсталявалі дадзенае абнаўленне, пакуль не ясна.
Фіктыўны BGP-анонс, які змяняе маршрутызацыю для падсеткі 162.55.80.0/24, быў адпраўлены з аўтаномнай сістэмы AS62390 (NexonHost) праз транзітнага правайдэра AS6204 (Zet.net). Парушэнне маршрутызацыі працягвалася 33 гадзіны з 28 жніўня 23:57 (MSK) да 30 жніўня 08:50 (MSK). Верагоднасць праходжання запыту праз сервер атакавалага ў пікавыя фазы нападу ацэньвалася ў 72% (266 з 368 BGP-піраў ужылі фіктыўны маршрут).
Карыстачам прадуктаў Softaculous, якімі як правіла з'яўляюцца хостынг-правайдэры, рэкамендавана праверыць свае сістэмы на прадмет актыўнасці шкоднаснага ПЗ і памяняць пароль доступу да сэрвісаў Softaculous. Адміністратарам Virtualizor рэкамендавана лічыць свае сістэмы патэнцыйна скампраметаванымі і памяняць ключы доступу да API і кліенцкія ключы. У якасці аднаго з індыкатараў кампраметацыі адзначаецца з'яўленне ў сістэме файла "/etc/systemd/system/java-jre-update.service". Кліентам, якія ўводзілі ў перыяд нападу нумара плацежных карт на сайце softaculous.com/clients, варта праверыць наяўнасць падазроных транзакцый.
Дамены, якія закранула атака:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Крыніца: opennet.ru
