{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Les attaquants ont utilis\u00e9 BGP pour remplacer le serveur de mise \u00e0 jour de Virtualizor et le site de Softaculous","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les attaquants ont r\u00e9ussi \u00e0 remplacer des \u00e9l\u00e9ments d'infrastructure de l'entreprise Softaculous, r\u00e9alisant un remplacement du chemin fictif via le protocole BGP, ce qui a permis de rediriger le trafic de la sous-r\u00e9seau avec les serveurs Softaculous vers un serveur contr\u00f4l\u00e9 par les attaquants. \u00c0 la suite de l'attaque, entre autres, il a \u00e9t\u00e9 possible de rediriger les demandes vers le site web client de l'entreprise, le syst\u00e8me de facturation et les serveurs de distribution des mises \u00e0 jour pour le logiciel Virtualizor, apr\u00e8s quoi ils ont \u00e9t\u00e9 utilis\u00e9s pour propager des logiciels malveillants et attaquer les clients de l'entreprise. Les attaquants ont pu obtenir via le service Let's Encrypt des certificats TLS valides pour les domaines Softaculous, car la v\u00e9rification automatique de la propri\u00e9t\u00e9 des domaines a \u00e9t\u00e9 effectu\u00e9e via les h\u00f4tes remplac\u00e9s. <\/p>\n

La soci\u00e9t\u00e9 Softaculous fournit une plateforme \u00e9ponyme pour automatiser l'installation d'applications web, int\u00e9grable avec des panneaux de contr\u00f4le d'h\u00e9bergement<\/a> cPanel, Plesk, DirectAdmin et ispmanager, et d\u00e9veloppe \u00e9galement le cr\u00e9ateur de sites SitePad, le panneau de contr\u00f4le Webuzo, le syst\u00e8me de sauvegarde Backuply et le panneau Virtualizor pour g\u00e9rer des serveurs virtuels. Lors de l'attaque, les malfaiteurs ont r\u00e9ussi \u00e0 publier une mise \u00e0 jour fictive pour le panneau Virtualizor, contenant du code malveillant. Le nombre d'utilisateurs ayant install\u00e9 cette mise \u00e0 jour n'est pas encore clair. <\/p>\n

Une annonce BGP fictive, modifiant le routage pour le sous-r\u00e9seau 162.55.80.0\/24, a \u00e9t\u00e9 envoy\u00e9e depuis le syst\u00e8me autonome AS62390 (NexonHost) via le fournisseur de transit AS6204 (Zet.net). La perturbation du routage a dur\u00e9 33 heures, du 28 ao\u00fbt \u00e0 23h57 (MSK) au 30 ao\u00fbt \u00e0 08h50 (MSK). La probabilit\u00e9 qu'une demande passe par serveur<\/a> l'attaquant pendant les phases de pointe de l'attaque \u00e9tait estim\u00e9e \u00e0 72 % (266 sur 368 pairs BGP ont appliqu\u00e9 l'itin\u00e9raire fictif). <\/p>\n

Il est recommand\u00e9 aux utilisateurs des produits Softaculous, qui sont g\u00e9n\u00e9ralement des fournisseurs d'h\u00e9bergement, de v\u00e9rifier leurs syst\u00e8mes pour d\u00e9tecter toute activit\u00e9 de logiciels malveillants et de changer le mot de passe d'acc\u00e8s aux services Softaculous. Aux administrateurs de Virtualizor, il est conseill\u00e9 de consid\u00e9rer leurs syst\u00e8mes comme potentiellement compromis et de changer les cl\u00e9s d'acc\u00e8s \u00e0 l'API ainsi que les cl\u00e9s client. L'apparition dans le syst\u00e8me d'un fichier \u00ab \/etc\/systemd\/system\/java-jre-update.service \u00bb est consid\u00e9r\u00e9e comme un indicateur de compromission. Les clients ayant saisi des num\u00e9ros de cartes de paiement sur le site softaculous.com\/clients pendant la p\u00e9riode de l'attaque doivent v\u00e9rifier la pr\u00e9sence de transactions suspectes. <\/p>\n

Domaines touch\u00e9s par l'attaque : <\/p>\n