攻撃者は、BGP を介して偽のルートを挿入することで Softaculous のインフラストラクチャの要素を偽装することに成功しました。これにより、Softaculous サーバーを含むサブネットからのトラフィックが攻撃者が制御するサーバーにリダイレクトされました。この攻撃では、とりわけ、同社のクライアント Web サイト、課金システム、および Virtualizor ソフトウェアのアップデート配信サーバーへのリクエストがリダイレクトされ、攻撃者はそれらを利用してマルウェアを配布し、同社のクライアントを攻撃しました。偽装されたホストを介してドメイン所有権の自動検証が行われたため、攻撃者は Let's Encrypt サービスを通じて Softaculous ドメインの有効な TLS 証明書を取得することができました。
Softaculousは、Webアプリケーションのインストールを自動化するための同名のプラットフォームを提供しており、 ホスティングコントロールパネル cPanel、Plesk、DirectAdmin、ispmanagerなどのサービスに加え、SitePadウェブサイトビルダー、Webuzoホスティングコントロールパネル、Backuplyバックアップシステム、仮想サーバー管理用コントロールパネルであるVirtualizorも開発している。今回の攻撃では、攻撃者はVirtualizorコントロールパネルに悪意のあるコードを含む偽のアップデートを公開することに成功した。このアップデートをインストールしたユーザー数はまだ不明である。
162.55.80.0/24サブネットのルーティングを変更する偽のBGPアドバタイズメントが、自律システムAS62390（NexonHost）からトランジットプロバイダAS6204（Zet.net）経由で送信されました。ルーティング障害は8月28日23:57（モスクワ時間）から8月30日08:50（モスクワ時間）までの33時間続きました。リクエストが通過する確率は サーバ 攻撃のピーク時における攻撃者の成功率は72%と推定された（368のBGPピアのうち266が偽のルートを使用した）。
Softaculous製品のユーザー（主にホスティングプロバイダー）は、システムをスキャンしてマルウェアの活動がないか確認し、Softaculousサービスのパスワードを変更してください。Virtualizorの管理者は、システムが侵害された可能性があるとみなし、APIアクセスキーとクライアントキーを変更してください。システムに「/etc/systemd/system/java-jre-update.service」というファイルが存在することは、侵害の兆候の一つです。攻撃中にsoftaculous.com/clientsでクレジットカード番号を入力した顧客は、不審な取引がないか確認してください。
攻撃の影響を受けたドメイン：
- a.softaculous.com、
- amps.com、
- api.sitepad.com、
- api.softaculous.com、
- api.virtualizor.com、
- api.webuzo.com、
- backuply.com、
- files.ampps.com、
- files.sitepad.com、
- files.softaculous.com、
- files.virtualizor.com、
- files.webuzo.com、
- pagelayer.com、
- popularfx.com、
- server.softaculous.com、
- sitepad.com、
- softaculous.com、v
- irtualizor.com、
- webuzo.com、
- www.ampps.com、
- www.backuply.com、
- www.popularfx.com、
- www.sitepad.com、
- www.softaculous.com、
- www.virtualizor.com、
- www.webuzo.com
出所： オープンネット.ru
