{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Angreifer nutzten BGP zur Manipulation des Virtualizor-Update-Servers und der Softaculous-Website","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Angreifer konnten die Infrastruktur-Elemente des Unternehmens Softaculous manipulieren, indem sie eine falsche Route \u00fcber das BGP-Protokoll setzten, wodurch der Datenverkehr des Subnetzes von den Softaculous-Servern auf einen Server umgeleitet wurde, der unter der Kontrolle der Angreifer stand. Infolgedessen gelang es, Anfragen an die Kunden-Website des Unternehmens, das Abrechnungssystem und die Server zur Verteilung von Updates f\u00fcr die Software Virtualizor umzuleiten, um diese f\u00fcr die Verbreitung von Malware und Angriffe auf die Kunden des Unternehmens zu nutzen. Die Angreifer konnten \u00fcber den Dienst Let\u2019s Encrypt g\u00fcltige TLS-Zertifikate f\u00fcr die Domains von Softaculous erhalten, da die automatische \u00dcberpr\u00fcfung des Domainbesitzes \u00fcber die manipulierten Hosts erfolgreich war. <\/p>\n

Das Unternehmen Softaculous bietet eine gleichnamige Plattform zur Automatisierung der Installation von Webanwendungen an, die in Hosting-Control Panels<\/a> cPanel, Plesk, DirectAdmin und ispmanager integriert ist, sowie den Website-Builder SitePad, das Hosting-Control Panel Webuzo, das Backup-System Backuply und das Virtualizor-Panel zur Verwaltung virtueller Server entwickelt. W\u00e4hrend des Angriffs gelang es den Angreifern, ein gef\u00e4lschtes Update f\u00fcr das Virtualizor-Panel zu ver\u00f6ffentlichen, das sch\u00e4dlichen Code enthielt. Die Zahl der Benutzer, die dieses Update installiert haben, ist bisher unklar. <\/p>\n

Eine gef\u00e4lschte BGP-Ank\u00fcndigung, die die Routing-Informationen f\u00fcr das Subnetz 162.55.80.0\/24 ver\u00e4nderte, wurde aus dem autonomen System AS62390 (NexonHost) \u00fcber den Transitprovider AS6204 (Zet.net) gesendet. Die Routing-St\u00f6rung dauerte 33 Stunden vom 28. August 23:57 (MSK) bis zum 30. August 08:50 (MSK). Die Wahrscheinlichkeit, dass eine Anfrage w\u00e4hrend der Hochphase des Angriffs durch Server<\/a> den Angreifer geleitet wurde, wurde auf 72 % gesch\u00e4tzt (266 von 368 BGP-Peers nutzten die gef\u00e4lschte Route). <\/p>\n

Den Nutzern der Produkte von Softaculous, die \u00fcblicherweise Hosting-Provider sind, wird empfohlen, ihre Systeme auf Malware-Aktivit\u00e4ten zu \u00fcberpr\u00fcfen und das Passwort f\u00fcr den Zugriff auf die Softaculous-Dienste zu \u00e4ndern. Den Administratoren von Virtualizor wird geraten, ihre Systeme als potenziell kompromittiert zu betrachten und die API-Zugangsschl\u00fcssel sowie die Kundenschl\u00fcssel zu \u00e4ndern. Ein Indikator f\u00fcr eine Kompromittierung ist das Auftreten der Datei \u201e\/etc\/systemd\/system\/java-jre-update.service\u201c im System. Kunden, die w\u00e4hrend des Angriffs ihre Kreditkartennummern auf der Website softaculous.com\/clients eingegeben haben, sollten verd\u00e4chtige Transaktionen \u00fcberpr\u00fcfen. <\/p>\n

Domains, die von dem Angriff betroffen sind: <\/p>\n