Uzbrucēji spēja viltot Softaculous infrastruktūras elementus, ievietojot viltotu maršrutu, izmantojot BGP, kas novirzīja datplūsmu no apakštīkla, kurā atradās Softaculous serveri, uz serveri, kuru kontrolēja uzbrucēji. Uzbrukums, cita starpā, novirzīja pieprasījumus uz uzņēmuma klientu vietni, norēķinu sistēmu un Virtualizor programmatūras atjauninājumu izplatīšanas serveriem, kurus pēc tam izmantoja ļaunprogrammatūras izplatīšanai un uzbrukumiem uzņēmuma klientiem. Uzbrucēji varēja iegūt derīgus TLS sertifikātus Softaculous domēniem, izmantojot Let's Encrypt pakalpojumu, jo automātiska domēna īpašumtiesību pārbaude tika veikta, izmantojot viltotos resursdatorus.
Softaculous nodrošina tāda paša nosaukuma platformu tīmekļa lietojumprogrammu instalēšanas automatizēšanai, kas integrējas ar mitināšanas vadības paneļi cPanel, Plesk, DirectAdmin un ispmanager, kā arī izstrādā SitePad vietņu veidotāju, Webuzo mitināšanas vadības paneli, Backuply dublēšanas sistēmu un Virtualizor vadības paneli virtuālo serveru pārvaldībai. Uzbrukuma laikā uzbrucējiem izdevās publicēt viltotu atjauninājumu Virtualizor vadības panelī, kas saturēja ļaunprātīgu kodu. Lietotāju skaits, kas instalēja šo atjauninājumu, joprojām nav zināms.
No autonomās sistēmas AS62390 (NexonHost) caur tranzīta pakalpojumu sniedzēju AS6204 (Zet.net) tika nosūtīta viltota BGP reklāma, kas mainīja apakštīkla 162.55.80.0/24 maršrutēšanu. Maršrutēšanas pārtraukums ilga 33 stundas no 28. augusta plkst. 23:57 (Maskavas laiks) līdz 30. augusta plkst. 08:50 (Maskavas laiks). Pieprasījuma iziešanas varbūtība serveri Uzbrucēja veiksmes rādītājs uzbrukuma maksimālās fāzes laikā tika lēsts 72% apmērā (266 no 368 BGP līdziniekiem izmantoja viltus maršrutu).
Softaculous produktu lietotājiem, parasti mitināšanas pakalpojumu sniedzējiem, ieteicams skenēt savas sistēmas, lai atklātu ļaunprātīgas programmatūras aktivitātes, un nomainīt Softaculous pakalpojumu paroles. Virtualizatoru administratoriem ieteicams uzskatīt savas sistēmas par potenciāli kompromitētām un nomainīt API piekļuves atslēgas un klienta atslēgas. Faila "/etc/systemd/system/java-jre-update.service" parādīšanās sistēmā ir viens no kompromitēšanas rādītājiem. Klientiem, kuri uzbrukuma laikā ievadīja maksājumu karšu numurus vietnē softaculous.com/clients, jāpārbauda, vai nav aizdomīgu darījumu.
Domēni, kurus skāris uzbrukums:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- faili.ampps.com,
- faili.sitepad.com,
- faili.softaculous.com,
- faili.virtualizor.com,
- faili.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Avots: opennet.ru
