Árásarmennirnir gátu falsað þætti í innviðum Softaculous með því að setja inn falsa leið í gegnum BGP, sem beindi umferð frá undirnetinu sem innihélt Softaculous netþjóna yfir á netþjón sem árásarmennirnir stjórnuðu. Árásin beindi meðal annars beiðnum á vefsíðu viðskiptavina fyrirtækisins, reikningskerfi og dreifingarþjóna fyrir hugbúnaðaruppfærslur Virtualizor, sem þeir notuðu síðan til að dreifa spilliforritum og ráðast á viðskiptavini fyrirtækisins. Árásarmennirnir gátu fengið gild TLS vottorð fyrir Softaculous lén í gegnum Let's Encrypt þjónustuna, þar sem sjálfvirk staðfesting á lénseignarhaldi var framkvæmd í gegnum falsaða vefþjónana.
Softaculous býður upp á samnefndan vettvang til að sjálfvirknivæða uppsetningu vefforrita, sem samþættist við stjórnborð fyrir hýsingu cPanel, Plesk, DirectAdmin og ispmanager, og þróar einnig vefsíðugerðina SitePad, stjórnborðið fyrir vefhýsingu Webuzo, afritunarkerfið Backuply og stjórnborðið Virtualizor fyrir stjórnun sýndarþjóna. Í árásinni tókst árásarmönnum að birta falsa uppfærslu á stjórnborðið fyrir Virtualizor sem innihélt skaðlegan kóða. Fjöldi notenda sem settu upp þessa uppfærslu er enn óþekktur.
Fölsk BGP-auglýsing sem breytti leiðinni fyrir undirnetið 162.55.80.0/24 var send frá sjálfvirka kerfinu AS62390 (NexonHost) í gegnum flutningsveituna AS6204 (Zet.net). Leiðartruflunin varði í 33 klukkustundir frá 28. ágúst, kl. 23:57 (Moskvutími) til 30. ágúst, kl. 08:50 (Moskvutími). Líkur á að beiðnin fari í gegn netþjóni Árangurshlutfall árásarmannsins á hápunkti árásarinnar var áætlaður 72% (266 af 368 BGP jafningjum notuðu falsa leiðina).
Notendum Softaculous vara, oftast vefþjónustuaðilum, er bent á að skanna kerfi sín í leit að spilliforritum og breyta lykilorðum sínum fyrir Softaculous þjónustur. Stjórnendum sýndarforrita er bent á að íhuga hugsanlega kerfi sín í hættu og breyta API aðgangslyklum sínum og biðlaralyklum. Tilkoma skráarinnar "/etc/systemd/system/java-jre-update.service" í kerfinu er ein af vísbendingum um hættu. Viðskiptavinir sem slógu inn greiðslukortanúmer á softaculous.com/clients meðan á árásinni stóð ættu að athuga hvort grunsamlegar færslur séu til staðar.
Lén sem urðu fyrir áhrifum af árásinni:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- skrár.ampps.com,
- skrár.sitepad.com,
- skrár.softaculous.com,
- skrár.virtualizor.com,
- skrár.webuzo.com,
- pagelayer.com,
- popularfx.com,
- netþjónn.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Heimild: opennet.ru
