{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Angriberne brugte BGP til at \u00e6ndre opdateringsserveren for Virtualizor og Softaculous-websiden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Angrebne form\u00e5ede at \u00e6ndre elementer i infrastrukturen hos Softaculous ved at inds\u00e6tte en falsk rute gennem BGP-protokollen, hvilket gjorde det muligt at omdirigere trafik fra subnettet med Softaculous-servere til en server kontrolleret af angriberne. Som et resultat af angrebet blev blandt andet adgangen til kundernes websted, faktureringssystem og opdateringsservere for Virtualizor omdirigeret, hvorefter de blev brugt til at sprede malware og angribe virksomhedens kunder. Angrebne lykkedes at f\u00e5 valide TLS-certifikater for Softaculous-dom\u00e6ner gennem Let's Encrypt, da den automatiske ejerskabsbekr\u00e6ftelse skete via de \u00e6ndrede v\u00e6rter. <\/p>\n

Softaculous leverer den navngivne platform til automatisering af installation af webapplikationer, som kan integreres med hosting kontrolpaneler<\/a> cPanel, Plesk, DirectAdmin og ispmanager, samt udvikler hjemmesidebyggeren SitePad, hosting kontrolpanelet Webuzo, backup systemet Backuply og Virtualizor-panelet til styring af virtuelle servere. Under angrebet lykkedes det kriminelle at offentligg\u00f8re en falsk opdatering til Virtualizor-panelet, som indeholdt ondsindet kode. Antallet af brugere, der har installeret denne opdatering, er endnu uklart. <\/p>\n

Den falske BGP-annonce, der \u00e6ndrede routing for subnetv\u00e6rket 162.55.80.0\/24, blev sendt fra det autonome system AS62390 (NexonHost) via transitudbyderen AS6204 (Zet.net). Rutersvigtet varede i 33 timer fra den 28. august kl. 23:57 (MSK) til den 30. august kl. 08:50 (MSK). Sandsynligheden for, at en anmodning passerede gennem server<\/a> angriberen i de mest aktive angrebsfaser blev vurderet til 72% (266 af 368 BGP-peers anvendte den falske rute). <\/p>\n

Brugere af Softaculous-produkter, som typisk er hostingudbydere, opfordres til at kontrollere deres systemer for aktivitet af malware og \u00e6ndre adgangskoderne til Softaculous-tjenesterne. Administratorer af Virtualizor anbefales at betragte deres systemer som potentielt kompromitterede og \u00e6ndre API-adgangsn\u00f8gler samt kundens n\u00f8gler. Som et indikator for kompromittering bem\u00e6rkes det, at filen \"\/etc\/systemd\/system\/java-jre-update.service\" vises i systemet. Kunder, der indtastede deres betalingskortnumre p\u00e5 softaculous.com\/clients under angrebet, b\u00f8r kontrollere for mist\u00e6nkelige transaktioner. <\/p>\n

Dom\u00e6ner, der blev ber\u00f8rt af angrebet: <\/p>\n