တိုက်ခိုက်သူများသည် BGP မှတစ်ဆင့် အတုအယောင်လမ်းကြောင်းတစ်ခုထည့်သွင်းခြင်းဖြင့် Softaculous ၏ အခြေခံအဆောက်အအုံ၏ အစိတ်အပိုင်းများကို လှည့်စားနိုင်ခဲ့ပြီး Softaculous ဆာဗာများပါရှိသော subnet မှ တိုက်ခိုက်သူများထိန်းချုပ်ထားသော ဆာဗာသို့ traffic ကို ပြန်ညွှန်းပေးခဲ့သည်။ အခြားအရာများအပြင် တိုက်ခိုက်မှုသည် ကုမ္ပဏီ၏ client ဝက်ဘ်ဆိုက်၊ billing system နှင့် Virtualizor software update distribution server များထံ request များကို ပြန်ညွှန်းပေးခဲ့ပြီး malware များဖြန့်ဝေရန်နှင့် ကုမ္ပဏီ၏ client များကို တိုက်ခိုက်ရန် အသုံးပြုခဲ့သည်။ တိုက်ခိုက်သူများသည် Let's Encrypt ဝန်ဆောင်မှုမှတစ်ဆင့် Softaculous domain များအတွက် တရားဝင် TLS လက်မှတ်များကို ရယူနိုင်ခဲ့ပြီး၊ လှည့်စားထားသော host များမှတစ်ဆင့် အလိုအလျောက် domain ownership verification ကို ပြုလုပ်ခဲ့သည်။
Softaculous သည် ဝဘ်အပလီကေးရှင်းများ ထည့်သွင်းခြင်းကို အလိုအလျောက်လုပ်ဆောင်ရန်အတွက် အမည်တူပလက်ဖောင်းတစ်ခုကို ပံ့ပိုးပေးပြီး ၎င်းသည် ၎င်းနှင့် ပေါင်းစပ်ထားသည်။ လက်ခံကျင်းပရေး ထိန်းချုပ်ကန့်များ cPanel၊ Plesk၊ DirectAdmin နှင့် ispmanager တို့အပြင် SitePad ဝက်ဘ်ဆိုက်တည်ဆောက်သူ၊ Webuzo hosting control panel၊ Backuply backup system နှင့် virtual server များကို စီမံခန့်ခွဲရန်အတွက် Virtualizor control panel တို့ကိုလည်း တီထွင်ခဲ့သည်။ တိုက်ခိုက်မှုအတွင်း တိုက်ခိုက်သူများသည် malicious code ပါ၀င်သည့် Virtualizor control panel သို့ fake update တစ်ခုကို ထုတ်ဝေနိုင်ခဲ့သည်။ ဤ update ကို install လုပ်ခဲ့သော အသုံးပြုသူအရေအတွက်ကို မသိရသေးပါ။
162.55.80.0/24 subnet အတွက် routing ကိုပြောင်းလဲနေသော အတုအယောင် BGP ကြော်ငြာတစ်ခုကို transit provider AS6204 (Zet.net) မှတစ်ဆင့် autonomous system AS62390 (NexonHost) မှ ပေးပို့ခဲ့သည်။ routing disruption သည် သြဂုတ်လ ၂၈ ရက်၊ ၂၃:၅၇ (မော်စကိုစံတော်ချိန်) မှ သြဂုတ်လ ၃၀ ရက်၊ ၀၈:၅၀ (မော်စကိုစံတော်ချိန်) အထိ ၃၃ နာရီကြာခဲ့သည်။ request ဖြတ်သန်းသွားနိုင်ခြေ ဆာဗာ တိုက်ခိုက်မှု၏ အထွတ်အထိပ်အဆင့်များအတွင်း တိုက်ခိုက်သူ၏ အောင်မြင်မှုနှုန်းကို ၇၂% ခန့်မှန်းထားသည် (BGP peers ၃၆၈ ဦးအနက် ၂၆၆ ဦးသည် fake route ကို အသုံးပြုခဲ့သည်)။
Softaculous ထုတ်ကုန်များ၊ ပုံမှန်အားဖြင့် hosting provider များကို အသုံးပြုသူများသည် malware လုပ်ဆောင်ချက်ရှိမရှိ ၎င်းတို့၏စနစ်များကို scan ဖတ်ပြီး Softaculous ဝန်ဆောင်မှုများအတွက် ၎င်းတို့၏ password များကို ပြောင်းလဲရန် အကြံပြုထားသည်။ Virtualizor administrator များအနေဖြင့် ၎င်းတို့၏စနစ်များသည် အန္တရာယ်ရှိနိုင်သည်ဟု ယူဆပြီး ၎င်းတို့၏ API access key များနှင့် client key များကို ပြောင်းလဲရန် အကြံပြုထားသည်။ စနစ်တွင် "/etc/systemd/system/java-jre-update.service" ဖိုင်ပေါ်လာခြင်းသည် အန္တရာယ်ရှိကြောင်း ညွှန်ပြချက်များထဲမှ တစ်ခုဖြစ်သည်။ တိုက်ခိုက်မှုအတွင်း softaculous.com/clients တွင် ငွေပေးချေကတ်နံပါတ်များကို ထည့်သွင်းခဲ့သော ဖောက်သည်များသည် သံသယဖြစ်ဖွယ် ငွေပေးငွေယူများ ရှိမရှိ စစ်ဆေးသင့်သည်။
တိုက်ခိုက်မှုကြောင့် ထိခိုက်ခံရသော ဒိုမိန်းများ-
- a.softaculous.com၊
- ampps.com၊
- api.sitepad.com၊
- api.softaculous.com၊
- api.virtualizor.com၊
- api.webuzo.com၊
- backuply.com၊
- files.ampps.com၊
- files.sitepad.com၊
- files.softaculous.com၊
- files.virtualizor.com၊
- files.webuzo.com၊
- pagelayer.com၊
- popularfx.com၊
- server.softaculous.com၊
- sitepad.com၊
- softaculous.com, v
- irtualizor.com၊
- webuzo.com၊
- www.ampps.com၊
- www.backuply.com၊
- www.popularfx.com၊
- www.sitepad.com၊
- www.softaculous.com၊
- www.virtualizor.com၊
- www.webuzo.com။
source: opennet.ru
