Шабуылдаушылар Softaculous инфрақұрылымының элементтерін BGP арқылы жалған маршрут енгізу арқылы жалған жолды енгізе алды, бұл трафикті Softaculous серверлері бар ішкі желіден шабуылдаушылар басқаратын серверге бағыттады. Шабуыл, басқа нәрселермен қатар, сұраныстарды компанияның клиенттік веб-сайтына, төлем жүйесіне және Virtualizor бағдарламалық жасақтамасын жаңартуды тарату серверлеріне бағыттады, содан кейін олар зиянды бағдарламаларды тарату және компания клиенттеріне шабуыл жасау үшін пайдаланды. Шабуылдаушылар Let's Encrypt қызметі арқылы Softaculous домендеріне жарамды TLS сертификаттарын ала алды, себебі доменнің меншік құқығын автоматты түрде тексеру жалған хосттар арқылы орындалды.
Softaculous веб-қосымшаларды орнатуды автоматтандыруға арналған аттас платформаны ұсынады, ол ... біріктіреді. басқару панельдерін орналастыру cPanel, Plesk, DirectAdmin және ispmanager компанияларымен бірлесіп жұмыс істейді, сондай-ақ SitePad веб-сайт құрастырушысын, Webuzo хостинг басқару панелін, Backuply резервтік көшірме жүйесін және виртуалды серверлерді басқаруға арналған Virtualizor басқару панелін әзірлейді. Шабуыл кезінде шабуылдаушылар Virtualizor басқару панеліне зиянды кодты қамтитын жалған жаңартуды жариялай алды. Бұл жаңартуды орнатқан пайдаланушылар саны әлі белгісіз.
AS62390 автономды жүйесінен (NexonHost) AS6204 (Zet.net) транзит провайдері арқылы 162.55.80.0/24 ішкі желісі үшін маршруттауды өзгертетін жалған BGP жарнамасы жіберілді. Маршруттау үзілісі 28 тамыз, 23:57 (Мәскеу уақыты) мен 30 тамыз, 08:50 (Мәскеу уақыты) аралығында 33 сағатқа созылды. Сұраныстың өту ықтималдығы сервер Шабуылдың ең жоғары кезеңдеріндегі шабуылдаушының сәттілік деңгейі 72% деп бағаланды (368 BGP әріптестерінің 266-сы жалған жолды пайдаланды).
Softaculous өнімдерін пайдаланушыларға, әдетте хостинг провайдерлеріне, жүйелерін зиянды бағдарламалардың белсенділігіне сканерлеп, Softaculous қызметтерінің құпия сөздерін өзгерту ұсынылады. Virtualizor әкімшілеріне жүйелерінің бұзылуы мүмкін екенін ескеріп, API кіру кілттері мен клиент кілттерін өзгерту ұсынылады. Жүйеде "/etc/systemd/system/java-jre-update.service" файлының пайда болуы бұзылу белгілерінің бірі болып табылады. Шабуыл кезінде softaculous.com/clients сайтына төлем картасының нөмірлерін енгізген тұтынушылар күдікті транзакцияларды тексеруі керек.
Шабуылдан зардап шеккен домендер:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Ақпарат көзі: opennet.ru
