Útočníci se podařilo podvrhnout prvky infrastruktury společnosti Softaculous tím, že prostřednictvím protokolu BGP provedli substituci falešné trasy, díky níž se podařilo přesměrovat provoz podsítě se servery Softaculous na servery kontrolované útočníky. V důsledku útoku se mimo jiné podařilo přesměrovat dotazy na zákaznický web společnosti, fakturační systém a servery pro distribuci aktualizací pro software Virtualizor, které pak byly použity k šíření malwaru a útokům na zákazníky společnosti. Útočníci získali prostřednictvím služby Let’s Encrypt platné TLS certifikáty pro domény Softaculous, protože automatická kontrola vlastnictví domén proběhla přes podvržené hostitele.
Společnost Softaculous poskytuje stejnojmennou platformu pro automatizaci instalace webových aplikací, kterou lze integrovat s řídícími panely hostingu. cPanel, Plesk, DirectAdmin a ispmanager, a také vyvíjí nástroj pro tvorbu stránek SitePad, řídící panel hostingu Webuzo, systém zálohování Backuply a panel Virtualizor pro správu virtuálních serverů. Během útoku se útočníkům podařilo publikovat falešnou aktualizaci pro panel Virtualizor, která obsahovala škodlivý kód. Počet uživatelů, kteří tuto aktualizaci nainstalovali, zatím není jasný.
Falešný BGP oznámení, které mění routování pro podsíť 162.55.80.0/24, bylo odesláno z autonomního systému AS62390 (NexonHost) prostřednictvím tranzitního poskytovatele AS6204 (Zet.net). Porušení routování trvalo 33 hodin od 28. srpna 23:57 (MSK) do 30. srpna 08:50 (MSK). Pravděpodobnost, že požadavek prošel skrze server útočníka v nejintenzivnějších fázích útoku byla odhadována na 72% (266 z 368 BGP peerů použilo falešnou trasu).
Uživatelům produktů Softaculous, kterými obvykle jsou poskytovatelé hostingu, se doporučuje zkontrolovat své systémy na přítomnost škodlivého softwaru a změnit heslo pro přístup k službám Softaculous. Správcům Virtualizoru se doporučuje považovat své systémy za potenciálně kompromitované a změnit API klíče a klientské klíče. Mezi indikátory kompromitace se uvádí přítomnost souboru „/etc/systemd/system/java-jre-update.service“ v systému. Klienti, kteří během útoku zadávali čísla platebních karet na webu softaculous.com/clients, by měli zkontrolovat podezřelé transakce.
Domény, které útok zasáhl:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com,
- virtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Zdroj: opennet.ru
