Angrebene lykkedes med at udskifte elementer af infrastrukturen hos Softaculous ved at indsætte en falsk rute gennem BGP-protokollen, hvilket gjorde det muligt at omdirigere trafikken fra subnetværket med Softaculous-servere til en server, der var under angrebernes kontrol. Som et resultat af angrebet blev blandt andet anmodninger til virksomhedens kundehjemmeside, faktureringssystem og servere til distribution af opdateringer til Virtualizor-software omdirigeret, hvorefter de blev brugt til at sprede malware og angribe virksomhedens kunder. Angrebene formåede at få gyldige TLS-certifikater til Softaculous-domæner gennem Let’s Encrypt-tjenesten, da den automatiske ejerverifikation for domæner blev gennemført via de udskiftede værter.
Softaculous leverer den navngivne platform til automatisering af installation af webapplikationer, som kan integreres med hosting kontrolpaneler cPanel, Plesk, DirectAdmin og ispmanager, samt udvikler hjemmesidebyggeren SitePad, hosting kontrolpanelet Webuzo, backup systemet Backuply og Virtualizor-panelet til styring af virtuelle servere. Under angrebet lykkedes det kriminelle at offentliggøre en falsk opdatering til Virtualizor-panelet, som indeholdt ondsindet kode. Antallet af brugere, der har installeret denne opdatering, er endnu uklart.
Den falske BGP-annonce, der ændrede routing for subnetværket 162.55.80.0/24, blev sendt fra det autonome system AS62390 (NexonHost) via transitudbyderen AS6204 (Zet.net). Rutersvigtet varede i 33 timer fra den 28. august kl. 23:57 (MSK) til den 30. august kl. 08:50 (MSK). Sandsynligheden for, at en anmodning passerede gennem server angriberen i de mest aktive angrebsfaser blev vurderet til 72% (266 af 368 BGP-peers anvendte den falske rute).
Brugere af Softaculous-produkter, der typisk er hostingudbydere, anbefales at kontrollere deres systemer for aktivitet af ondsindet software og ændre adgangskoden til Softaculous-tjenesterne. Administratorer af Virtualizor anbefales at betragte deres systemer som potentielt kompromitterede og ændre API-adgangsnøgler og klientnøgler. Et af indikatorerne for kompromittering er fremkomsten af filen "\/etc\/systemd\/system\/java-jre-update.service" i systemet. Kunder, der indtastede betalingskortnumre på softaculous.com\/clients under angrebet, bør kontrollere for mistænkelige transaktioner.
Domæner, der blev berørt af angrebet:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Kilde: opennet.ru
