🥇আক্রমণকারীরা ভার্চুয়ালাইজর আপডেট সার্ভার এবং সফটাকুলাস ওয়েবসাইট স্পুফ করতে বিজিপি (BGP) ব্যবহার করেছিল। ProHoster

আক্রমণকারীরা BGP-এর মাধ্যমে একটি নকল রুট প্রবেশ করিয়ে Softaculous-এর অবকাঠামোর বিভিন্ন অংশ নকল করতে সক্ষম হয়েছিল, যা Softaculous সার্ভারগুলো থাকা সাবনেট থেকে ট্র্যাফিককে আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত একটি সার্ভারে পুনঃনির্দেশিত করে। এই আক্রমণে, অন্যান্য বিষয়ের পাশাপাশি, অনুরোধগুলোকে কোম্পানির ক্লায়েন্ট ওয়েবসাইট, বিলিং সিস্টেম এবং Virtualizor সফটওয়্যার আপডেট বিতরণ সার্ভারগুলোতে পুনঃনির্দেশিত করা হয়, যেগুলো তারা পরবর্তীতে ম্যালওয়্যার ছড়াতে এবং কোম্পানির ক্লায়েন্টদের আক্রমণ করতে ব্যবহার করে। আক্রমণকারীরা Let's Encrypt পরিষেবার মাধ্যমে Softaculous ডোমেইনগুলোর জন্য বৈধ TLS সার্টিফিকেট সংগ্রহ করতে সক্ষম হয়েছিল, কারণ নকল করা হোস্টগুলোর মাধ্যমেই স্বয়ংক্রিয়ভাবে ডোমেইনের মালিকানা যাচাই করা হচ্ছিল।

সফটাকুলাস ওয়েব অ্যাপ্লিকেশন ইনস্টলেশন স্বয়ংক্রিয় করার জন্য একই নামের একটি প্ল্যাটফর্ম সরবরাহ করে, যা এর সাথে সমন্বিত হয়। হোস্টিং কন্ট্রোল প্যানেল cPanel, Plesk, DirectAdmin, এবং ispmanager তৈরি করে এবং এছাড়াও SitePad ওয়েবসাইট বিল্ডার, Webuzo হোস্টিং কন্ট্রোল প্যানেল, Backuply ব্যাকআপ সিস্টেম, এবং ভার্চুয়াল সার্ভার পরিচালনার জন্য Virtualizor কন্ট্রোল প্যানেল তৈরি করে। আক্রমণের সময়, আক্রমণকারীরা Virtualizor কন্ট্রোল প্যানেলে ক্ষতিকারক কোড সম্বলিত একটি নকল আপডেট প্রকাশ করতে সক্ষম হয়। কতজন ব্যবহারকারী এই আপডেটটি ইনস্টল করেছেন তা এখনও অজানা।

স্বায়ত্তশাসিত সিস্টেম AS62390 (NexonHost) থেকে ট্রানজিট প্রোভাইডার AS6204 (Zet.net)-এর মাধ্যমে 162.55.80.0/24 সাবনেটের রাউটিং পরিবর্তনকারী একটি ভুয়া BGP অ্যাডভার্টাইজমেন্ট পাঠানো হয়েছিল। এই রাউটিং বিঘ্নটি ২৮শে আগস্ট, ২৩:৫৭ (মস্কো সময়) থেকে ৩০শে আগস্ট, ০৮:৫০ (মস্কো সময়) পর্যন্ত ৩৩ ঘন্টা স্থায়ী ছিল। অনুরোধটি পাস হওয়ার সম্ভাবনা... সার্ভার আক্রমণের চরম পর্যায়ে আক্রমণকারীর সফলতার হার আনুমানিক ৭২% ছিল (৩৬৮টি বিজিপি পিয়ারের মধ্যে ২৬৬টি নকল রুটটি ব্যবহার করেছিল)।

সফটাকুলাস প্রোডাক্টের ব্যবহারকারীদের, বিশেষ করে হোস্টিং প্রোভাইডারদের, ম্যালওয়্যার কার্যকলাপের জন্য তাদের সিস্টেম স্ক্যান করতে এবং সফটাকুলাস পরিষেবাগুলির জন্য তাদের পাসওয়ার্ড পরিবর্তন করার পরামর্শ দেওয়া হচ্ছে। ভার্চুয়ালাইজর অ্যাডমিনিস্ট্রেটরদের তাদের সিস্টেমকে সম্ভাব্য ঝুঁকিপূর্ণ হিসেবে বিবেচনা করতে এবং তাদের এপিআই অ্যাক্সেস কী ও ক্লায়েন্ট কী পরিবর্তন করার পরামর্শ দেওয়া হচ্ছে। সিস্টেমে "/etc/systemd/system/java-jre-update.service" ফাইলটির উপস্থিতি ঝুঁকির অন্যতম একটি সূচক। আক্রমণের সময় যে গ্রাহকরা softaculous.com/clients-এ পেমেন্ট কার্ড নম্বর প্রবেশ করিয়েছেন, তাদের সন্দেহজনক লেনদেন পরীক্ষা করা উচিত।

আক্রমণে ক্ষতিগ্রস্ত ডোমেইনগুলো:

a.softaculous.com,
ampps.com,
api.sitepad.com,
api.softaculous.com,
api.virtualizor.com,
api.webuzo.com,
ব্যাকআপলি.কম,
files.ampps.com,
files.sitepad.com,
files.softaculous.com,
files.virtualizor.com,
files.webuzo.com,
পেজলেয়ার.কম,
জনপ্রিয়এফএক্স.কম,
server.softaculous.com,
সাইটপ্যাড.কম,
softaculous.com, v
ভার্চুয়ালাইজর.কম,
webuzo.com,
www.ampps.com,
www.backuply.com,
www.popularfx.com,
www.sitepad.com,
www.softaculous.com,
www.virtualizor.com,
www.webuzo.com

উত্স: opennet.ru

আক্রমণকারীরা ভার্চুয়ালাইজর আপডেট সার্ভার এবং সফটাকুলাস ওয়েবসাইটকে স্পুফ করতে বিজিপি (BGP) ব্যবহার করেছিল।