A támadók képesek voltak cserélni a Softaculous vállalat infrastruktúráját, hamis útvonalat állítva be a BGP protokollon keresztül, amely lehetővé tette, hogy a forgalmat a Softaculous szervereiről egy támadók által irányított szerverre tereljék. A támadás következtében többek között sikerült átirányítani a vállalat ügyfélszolgálati webhelyére, a számlázásra és a Virtualizor szoftver frissítéseit elosztó szerverekre, majd ezeket felhasználva káros szoftvereket terjesztettek és megtámadták a cég ügyfeleit. A támadók a Let’s Encrypt szolgáltatáson keresztül érvényes TLS tanúsítványokat szereztek a Softaculous domainjeihez, mivel az automatikus domain birtoklás ellenőrzése a hamisított hosztokon keresztül zajlott le.
A Softaculous vállalat egy névadó platformot kínál a webalkalmazások automatikus telepítésére, amely integrálható a hoszting vezérlő paneleket használnak, cPanel, Plesk, DirectAdmin és ispmanager rendszerekkel, valamint fejleszti a SitePad weboldalkészítőt, a Webuzo hosztolási vezérlőpultot, a Backuply biztonsági mentési rendszert és a Virtualizor paneleit, amelyek a virtuális szerverek kezelésére szolgálnak. A támadás során a támadók hamis frissítést tettek közzé a Virtualizor panelehez, amely káros kódot tartalmazott. A frissítést telepítő felhasználók pontos száma egyelőre nem ismert.
A hamis BGP bejelentés, amely megváltoztatta a 162.55.80.0/24 alhálózat forgalmát, az AS62390 (NexonHost) autonóm rendszertől indult el az AS6204 (Zet.net) tranzit szolgáltatón keresztül. A forgalom zavarása 33 órán át tartott, augusztus 28-án 23:57-től (MSK) augusztus 30-án 08:50-ig (MSK). A támadón keresztüli kérés áthaladásának valószínűsége a támadás csúcsidőszakaiban 72%-ra volt becsülve (368 BGP csomópont közül 266 alkalmazta a hamisított útvonalat). szerver A Softaculous termékeinek felhasználói, akik jellemzően hosztolási szolgáltatók, számára ajánlott, hogy ellenőrizzék rendszereiket a káros szoftverek aktivitásának tekintetében, és változtassák meg a Softaculous szolgáltatásokhoz való hozzáférési jelszavukat. A Virtualizor rendszergazdáinak javasolják, hogy a rendszereiket potenciálisan kompromittáltnak tekintsék, és változtassák meg az API-hozzáférési kulcsaikat és ügyfélkulcsaikat. A kompromittálódás egyik mutatójának a rendszerben megjelenő "\/etc\/systemd\/system\/java-jre-update.service" fájl létrejöttét tekintik. Azoknak az ügyfeleknek, akik a támadás időszakában bankkártyaszámokat adtak meg a softaculous.com\/clients webhelyén, érdemes ellenőrizniük a gyanús tranzakciók meglétét.
A támadás által érintett domainok:
a.softaculous.com,
- ampps.com,
- a.softaculous.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Forrás: opennet.ru
