Angriberne var i stand til at forfalske elementer af Softaculous' infrastruktur ved at indsætte en falsk rute via BGP, som omdirigerede trafik fra subnettet, der indeholdt Softaculous-servere, til en server kontrolleret af angriberne. Angrebet omdirigerede blandt andet anmodninger til virksomhedens klientwebsted, faktureringssystem og distributionsservere til Virtualizor-softwareopdateringer, som de derefter brugte til at distribuere malware og angribe virksomhedens klienter. Angriberne var i stand til at få gyldige TLS-certifikater til Softaculous-domæner via Let's Encrypt-tjenesten, da automatisk verifikation af domæneejerskab blev udført via de forfalskede værter.
Softaculous tilbyder en platform med samme navn til automatisering af installation af webapplikationer, som integrerer med hosting-kontrolpaneler cPanel, Plesk, DirectAdmin og ispmanager, og udvikler også SitePad-webstedsbyggeren, Webuzo-hostingkontrolpanelet, Backuply-backupsystemet og Virtualizor-kontrolpanelet til administration af virtuelle servere. Under angrebet lykkedes det angriberne at offentliggøre en falsk opdatering til Virtualizor-kontrolpanelet, der indeholdt ondsindet kode. Antallet af brugere, der installerede denne opdatering, er stadig ukendt.
En falsk BGP-annonce, der ændrer routingen for subnettet 162.55.80.0/24, blev sendt fra det autonome system AS62390 (NexonHost) via transitudbyderen AS6204 (Zet.net). Routingafbrydelsen varede 33 timer fra 28. august kl. 23:57 (Moskva-tid) til 30. august kl. 08:50 (Moskva-tid). Sandsynligheden for, at anmodningen passerer igennem server Angriberens succesrate i angrebets spidsbelastningsfaser blev anslået til 72% (266 ud af 368 BGP-peers brugte den falske rute).
Brugere af Softaculous-produkter, typisk hostingudbydere, rådes til at scanne deres systemer for malware-aktivitet og ændre deres adgangskoder til Softaculous-tjenester. Virtualizer-administratorer rådes til at overveje deres systemer som potentielt kompromitterede og ændre deres API-adgangsnøgler og klientnøgler. Tilstedeværelsen af filen "/etc/systemd/system/java-jre-update.service" i systemet er en af indikatorerne for kompromittering. Kunder, der indtastede betalingskortnumre på softaculous.com/clients under angrebet, bør tjekke for mistænkelige transaktioner.
Domæner berørt af angrebet:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- filer.ampps.com,
- filer.sitepad.com,
- filer.softaculous.com,
- filer.virtualizor.com,
- filer.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Kilde: opennet.ru
