공격자들은 BGP를 사용하여 Virtualizor 업데이트 서버와 Softaculous 웹사이트를 사칭했습니다.

공격자들은 BGP를 통해 가짜 경로를 삽입하여 Softaculous 인프라의 일부를 위조할 수 있었습니다. 이 가짜 경로는 Softaculous 서버가 있는 서브넷에서 공격자들이 제어하는 ​​서버로 트래픽을 리디렉션했습니다. 공격자들은 이를 통해 Softaculous의 고객 웹사이트, 결제 시스템, Virtualizor 소프트웨어 업데이트 배포 서버 등으로 향하는 요청을 리디렉션했고, 이를 이용해 악성코드를 배포하고 고객사를 공격했습니다. 또한, 위조된 호스트를 통해 도메인 소유권 확인이 자동으로 이루어졌기 때문에 공격자들은 Let's Encrypt 서비스를 통해 Softaculous 도메인에 대한 유효한 TLS 인증서를 획득할 수 있었습니다.

Softaculous는 웹 애플리케이션 설치 자동화를 위한 동일한 이름의 플랫폼을 제공하며, 이는 다음과 통합됩니다. 호스팅 제어판 cPanel, Plesk, DirectAdmin, ispmanager 등의 소프트웨어 개발사인 이 회사는 SitePad 웹사이트 빌더, Webuzo 호스팅 제어판, Backuply 백업 시스템, 그리고 가상 서버 관리용 Virtualizor 제어판도 개발하고 있습니다. 이번 공격에서 공격자들은 악성 코드가 포함된 가짜 Virtualizor 제어판 업데이트를 배포했습니다. 이 업데이트를 설치한 사용자의 수는 아직 알려지지 않았습니다.

자율 시스템 AS62390(NexonHost)에서 트랜짓 제공자 AS6204(Zet.net)를 통해 162.55.80.0/24 서브넷의 라우팅을 변경하는 가짜 BGP 광고가 전송되었습니다. 라우팅 중단은 8월 28일 23시 57분(모스크바 시간)부터 8월 30일 08시 50분(모스크바 시간)까지 33시간 동안 지속되었습니다. 요청이 통과될 확률은 다음과 같습니다. 서버 공격이 최고조에 달했을 때 공격자의 성공률은 72%로 추정됩니다(368개의 BGP 피어 중 266개가 가짜 경로를 사용했습니다).

Softaculous 제품 사용자(주로 호스팅 제공업체)는 시스템에서 악성코드 활동을 검사하고 Softaculous 서비스 비밀번호를 변경하는 것이 좋습니다. Virtualizor 관리자는 시스템이 손상되었을 가능성이 있으므로 API 액세스 키와 클라이언트 키를 변경해야 합니다. 시스템에 "/etc/systemd/system/java-jre-update.service" 파일이 생성되는 것은 시스템 손상의 징후 중 하나입니다. 공격 당시 softaculous.com/clients에서 결제 카드 번호를 입력한 고객은 의심스러운 거래가 있는지 확인해야 합니다.

공격의 영향을 받은 도메인:

• a.softaculous.com,
• ampps.com,
• api.sitepad.com,
• api.softaculous.com,
• api.virtualizor.com,
• api.webuzo.com,
• backuply.com,
• files.ampps.com,
• files.sitepad.com,
• files.softaculous.com,
• files.virtualizor.com,
• files.webuzo.com,
• 페이지레이어닷컴,
• popularfx.com,
• server.softaculous.com,
• 사이트패드닷컴,
• 소프트아큘러스닷컴, v
• irtualizor.com,
• webuzo.com,
• www.ampps.com,
• www.backuply.com,
• www.popularfx.com,
• www.sitepad.com,
• www.softaculous.com,
• www.virtualizor.com,
• www.webuzo.com.

출처 : opennet.ru