Napadači su uspjeli lažirati elemente Softaculousove infrastrukture umetanjem lažne rute putem BGP-a, koja je preusmjeravala promet iz podmreže koja sadrži Softaculousove servere na server koji kontroliraju napadači. Napad je, između ostalog, preusmjeravao zahtjeve na web stranicu klijenata kompanije, sistem naplate i servere za distribuciju ažuriranja softvera Virtualizor, koje su zatim koristili za distribuciju zlonamjernog softvera i napad na klijente kompanije. Napadači su uspjeli dobiti važeće TLS certifikate za Softaculousove domene putem Let's Encrypt servisa, jer se automatska provjera vlasništva nad domenom vršila putem lažnih hostova.
Softaculous pruža istoimenu platformu za automatizaciju instalacije web aplikacija, koja se integrira sa kontrolne ploče hostinga cPanel, Plesk, DirectAdmin i ispmanager, a također razvija i SitePad alat za izradu web stranica, Webuzo kontrolnu ploču za hosting, Backuply sistem za pravljenje sigurnosnih kopija i Virtualizor kontrolnu ploču za upravljanje virtualnim serverima. Tokom napada, napadači su uspjeli objaviti lažno ažuriranje na Virtualizor kontrolnoj ploči koje sadrži zlonamjerni kod. Broj korisnika koji su instalirali ovo ažuriranje još uvijek nije poznat.
Lažna BGP reklama kojom se mijenja rutiranje za podmrežu 162.55.80.0/24 poslana je iz autonomnog sistema AS62390 (NexonHost) putem tranzitnog provajdera AS6204 (Zet.net). Prekid rutiranja trajao je 33 sata, od 28. augusta u 23:57 (moskovsko vrijeme) do 30. augusta u 08:50 (moskovsko vrijeme). Vjerovatnoća da zahtjev prođe kroz... server Stopa uspjeha napadača tokom vršnih faza napada procijenjena je na 72% (266 od 368 BGP peer-ova koristilo je lažnu rutu).
Korisnicima Softaculous proizvoda, obično provajderima hostinga, savjetuje se da skeniraju svoje sisteme u potrazi za aktivnostima zlonamjernog softvera i promijene lozinke za Softaculous usluge. Administratorima Virtualizora se savjetuje da razmotre potencijalno kompromitirane sisteme i promijene ključeve za pristup API-ju i klijentske ključeve. Pojava datoteke "/etc/systemd/system/java-jre-update.service" u sistemu jedan je od pokazatelja kompromitacije. Korisnici koji su tokom napada unijeli brojeve platnih kartica na softaculous.com/clients trebali bi provjeriti sumnjive transakcije.
Domene pogođene napadom:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
izvor: opennet.ru
