Angreifer konnten die Infrastruktur-Elemente von Softaculous manipulieren, indem sie eine gefälschte Route über das BGP-Protokoll einsetzten, wodurch der Verkehr des Subnetzes mit den Softaculous-Servern auf einen von den Angreifern kontrollierten Server umgeleitet werden konnte. Infolge des Angriffs gelang es unter anderem, Anfragen an die Kunden-Webseite des Unternehmens, an die Abrechung und an die Aktualisierungsserver für die Software Virtualizor umzuleiten, die anschließend zur Verbreitung von Malware und zu Angriffen auf die Kunden des Unternehmens genutzt wurden. Den Angreifern gelang es, über den Dienst Let’s Encrypt gültige TLS-Zertifikate für die Domains von Softaculous zu erhalten, da die automatische Überprüfung des Domainbesitzes über die manipulierten Hosts erfolgreich war.
Das Unternehmen Softaculous bietet eine gleichnamige Plattform zur Automatisierung der Installation von Webanwendungen an, die in Hosting-Control Panels cPanel, Plesk, DirectAdmin und ispmanager integriert ist, sowie den Website-Builder SitePad, das Hosting-Control Panel Webuzo, das Backup-System Backuply und das Virtualizor-Panel zur Verwaltung virtueller Server entwickelt. Während des Angriffs gelang es den Angreifern, ein gefälschtes Update für das Virtualizor-Panel zu veröffentlichen, das schädlichen Code enthielt. Die Zahl der Benutzer, die dieses Update installiert haben, ist bisher unklar.
Eine gefälschte BGP-Ankündigung, die die Routing-Informationen für das Subnetz 162.55.80.0/24 veränderte, wurde aus dem autonomen System AS62390 (NexonHost) über den Transitprovider AS6204 (Zet.net) gesendet. Die Routing-Störung dauerte 33 Stunden vom 28. August 23:57 (MSK) bis zum 30. August 08:50 (MSK). Die Wahrscheinlichkeit, dass eine Anfrage während der Hochphase des Angriffs durch Server den Angreifer geleitet wurde, wurde auf 72 % geschätzt (266 von 368 BGP-Peers nutzten die gefälschte Route).
Benutzern der Produkte von Softaculous, welche in der Regel Hosting-Anbieter sind, wird geraten, ihre Systeme auf Malware-Aktivität zu überprüfen und das Passwort für die Softaculous-Dienste zu ändern. Administratoren von Virtualizor wird empfohlen, ihre Systeme als potenziell kompromittiert zu betrachten und die API-Zugangsschlüssel sowie die Kundenschlüssel zu ändern. Als eines der Indikatoren für eine Kompromittierung gilt das Auftreten der Datei «/etc/systemd/system/java-jre-update.service» im System. Kunden, die während des Angriffs ihre Kreditkartennummern auf der Website softaculous.com/clients eingegeben haben, sollten verdächtige Transaktionen überprüfen.
Domains, die von dem Angriff betroffen sind:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com,
- virtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Quelle: opennet.ru
