{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Los atacantes utilizaron BGP para suplantar el servidor de actualizaciones de Virtualizor y el sitio de Softaculous.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Los atacantes pudieron sustituir elementos de la infraestructura de la empresa Softaculous, llevando a cabo la sustituci\u00f3n de una ruta ficticia a trav\u00e9s del protocolo BGP, lo que permiti\u00f3 redirigir el tr\u00e1fico de la subred con los servidores de Softaculous a un servidor controlado por los atacantes. Como resultado del ataque, entre otras cosas, se pudo redirigir las solicitudes al sitio web de los clientes de la empresa, al sistema de facturaci\u00f3n y a los servidores de distribuci\u00f3n de actualizaciones para el software Virtualizor, tras lo cual se utilizaron para distribuir malware y atacar a los clientes de la empresa. Los atacantes pudieron obtener a trav\u00e9s del servicio Let's Encrypt certificados TLS v\u00e1lidos para los dominios de Softaculous, ya que la verificaci\u00f3n autom\u00e1tica de la propiedad de los dominios pas\u00f3 a trav\u00e9s de los hosts sustituidos. <\/p>\n

La empresa Softaculous proporciona una plataforma del mismo nombre para la automatizaci\u00f3n de la instalaci\u00f3n de aplicaciones web, que se integra con paneles de control de hosting<\/a> cPanel, Plesk, DirectAdmin e ispmanager, y tambi\u00e9n desarrolla el constructor de sitios SitePad, el panel de control de hosting Webuzo, el sistema de copias de seguridad Backuply y el panel Virtualizor para la gesti\u00f3n de servidores virtuales. Durante el ataque, los delincuentes lograron publicar una actualizaci\u00f3n falsa del panel Virtualizor, que conten\u00eda c\u00f3digo malicioso. No est\u00e1 claro cu\u00e1ntos usuarios instalaron esta actualizaci\u00f3n. <\/p>\n

Un anuncio BGP falso que cambia la ruta para la subred 162.55.80.0\/24 fue enviado desde el sistema aut\u00f3nomo AS62390 (NexonHost) a trav\u00e9s del proveedor de tr\u00e1nsito AS6204 (Zet.net). La interrupci\u00f3n de la ruta dur\u00f3 33 horas, desde el 28 de agosto a las 23:57 (MSK) hasta el 30 de agosto a las 08:50 (MSK). La probabilidad de que una solicitud pasara a trav\u00e9s de servidor<\/a> el atacante durante las fases pico del ataque se estim\u00f3 en un 72% (266 de 368 pares BGP aplicaron la ruta falsa). <\/p>\n

Se recomienda a los usuarios de los productos Softaculous, que suelen ser proveedores de alojamiento, que verifiquen sus sistemas en busca de actividad de malware y cambien la contrase\u00f1a de acceso a los servicios de Softaculous. Se recomienda a los administradores de Virtualizor que consideren sus sistemas como potencialmente comprometidos y cambien sus claves de acceso a la API y las claves de cliente. Uno de los indicadores de compromiso es la aparici\u00f3n en el sistema del archivo \u00ab\/etc\/systemd\/system\/java-jre-update.service\u00bb. Los clientes que ingresaron n\u00fameros de tarjetas de pago durante el ataque en el sitio softaculous.com\/clients deben verificar la existencia de transacciones sospechosas. <\/p>\n

Dominios afectados por el ataque: <\/p>\n