Атакуващите успяха да подменят елементи от инфраструктурата на компанията Softaculous, осъществявайки подмяна на фалшив маршрут чрез протокол BGP, благодарение на което успяха да пренасочат трафика на подсет с вариантите на Softaculous към сървър, контролирани от атакуващите. В резултат на атаката, сред другото, беше успешно пренасочено достъпа до клиентския уебсайт на компанията, към системата за фактуриране и на сървърите за разпространение на обновления за софтуера Virtualizor, след което те бяха използвани за разпространение на зловреден софтуер и атаки срещу клиентите на компанията. Атакуващите успяха да получат чрез услугата Let’s Encrypt валидни TLS сертификати за домейните на Softaculous, тъй като автоматичната проверка на собствеността на домейните премина през подменените хостинги.
Компанията Softaculous предлага същотоименната платформа за автоматизация на инсталацията на уеб приложения, интегрирана с хостинг панел cPanel, Plesk, DirectAdmin и ispmanager, а също така развива конструктора на уебсайтове SitePad, панела за управление на хостинг Webuzo, системата за резервно копиране Backuply и панела Virtualizor за управление на виртуални сървъри. По време на атаката злонамерените лица успяха да публикуват фалшиво обновление на панела Virtualizor, съдържащо зловреден код. Броят на потребителите, инсталирали това обновление, все още не е ясен.
Фалшив BGP анонс, променящ маршрутизацията за подсет 162.55.80.0/24, беше изпратен от автономна система AS62390 (NexonHost) през транспортен доставчик AS6204 (Zet.net). Нарушението на маршрутизацията продължи 33 часа от 28 август 23:57 (MSK) до 30 август 08:50 (MSK). Вероятността поискане да премине през сървър атакуващия в пиковите фази на атаката беше оценена на 72% (266 от 368 BGP пирера прилагаха фалшивия маршрут).
На потребителите на продуктите Softaculous, които обикновено са хостинг доставчици, се препоръчва да проверят системите си за наличие на зловреден софтуер и да сменят паролите за достъп до услугите на Softaculous. На администраторите на Virtualizor им се препоръчва да считат системите си за потенциално компрометирани и да сменят ключовете за достъп до API и клиентските ключове. Като един от индикаторите за компрометиране се отбелязва появата в системата на файл „/etc/systemd/system/java-jre-update.service“. Клиентите, въвели номера на платежни карти на сайта softaculous.com/clients по време на атаката, трябва да проверят за наличие на подозрителни транзакции.
Домейни, които бяха засегнати от атаката:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Източник: opennet.ru
