{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Gli aggressori hanno utilizzato BGP per sostituire il server degli aggiornamenti di Virtualizor e il sito di Softaculous","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Gli aggressori sono riusciti a manomettere gli elementi infrastrutturali dell'azienda Softaculous, effettuando un reindirizzamento tramite il protocollo BGP, che ha consentito di deviare il traffico della sottorete dai server Softaculous a un server controllato dagli attaccanti. A seguito dell'attacco, tra le altre cose, sono riusciti a reindirizzare le richieste al sito web dei clienti dell'azienda, alla fatturazione e ai server per la distribuzione degli aggiornamenti del software Virtualizor, per poi utilizzarli per diffondere malware e attaccare i clienti dell'azienda. Gli aggressori sono riusciti a ottenere attraverso il servizio Let's Encrypt certificati TLS validi per i domini di Softaculous, poich\u00e9 la verifica automatica della propriet\u00e0 dei domini \u00e8 avvenuta attraverso gli host manomessi. <\/p>\n

L'azienda Softaculous fornisce la piattaforma omonima per l'automazione dell'installazione delle web application, integrabile con i pannelli di controllo per l'hosting<\/a> cPanel, Plesk, DirectAdmin e ispmanager, e sviluppa anche il costruttore di siti SitePad, il pannello di controllo per hosting Webuzo, il sistema di backup Backuply e il pannello Virtualizor per la gestione di server virtuali. Durante l'attacco, i criminali informatici sono riusciti a pubblicare un aggiornamento falso per il pannello Virtualizor, contenente codice dannoso. Il numero di utenti che ha installato questo aggiornamento non \u00e8 ancora chiaro. <\/p>\n

Un falso annuncio BGP, che modifica la routing per la sottorete 162.55.80.0\/24, \u00e8 stato inviato dal sistema autonomo AS62390 (NexonHost) tramite il provider di transito AS6204 (Zet.net). La violazione della routing \u00e8 durata 33 ore, dal 28 agosto 23:57 (MSK) al 30 agosto 08:50 (MSK). La probabilit\u00e0 che la richiesta passasse attraverso server<\/a> l'attaccante nelle fasi di picco dell'attacco \u00e8 stata stimata al 72% (266 su 368 peer BGP hanno applicato il percorso falso). <\/p>\n

Gli utenti dei prodotti Softaculous, che generalmente sono fornitori di hosting, sono consigliati di controllare i propri sistemi per attivit\u00e0 di malware e di cambiare la password di accesso ai servizi di Softaculous. Gli amministratori di Virtualizor sono invitati a considerare i propri sistemi potenzialmente compromessi e a modificare le chiavi di accesso all'API e le chiavi client. Uno degli indicatori di compromissione \u00e8 la presenza nel sistema del file \"\/etc\/systemd\/system\/java-jre-update.service\". I clienti che hanno inserito numeri di carte di pagamento durante l'attacco sul sito softaculous.com\/clients, devono controllare la presenza di transazioni sospette. <\/p>\n

Domini colpiti dall'attacco: <\/p>\n