{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Aanvallers hebben BGP gebruikt om de updateserver van Virtualizor en de website van Softaculous te vervalsen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Aanvallers zijn erin geslaagd elementen van de infrastructuur van Softaculous te vervalsen door een neproute via het BGP-protocol in te stellen, waarmee ze het verkeer van de subnetten met Softaculous-servers konden omleiden naar een server die onder hun controle stond. Als gevolg van de aanval werden onder andere verzoeken naar de klantenwebsite van het bedrijf, de facturering en de distributie-servers voor updates van de software Virtualizor omgeleid, waarna ze werden gebruikt voor het verspreiden van malware en aanvallen op de klanten van het bedrijf. Aanvallers konden via de Let’s Encrypt-service correcte TLS-certificaten voor de domeinen van Softaculous verkrijgen, omdat de automatische controle van het domeineigendom via de vervalste hosts succesvol was verlopen. <\/p>\n

Het bedrijf Softaculous levert een van naam gelijkende platform voor de automatisering van de installatie van webapplicaties, ge\u00efntegreerd met hosting control panels<\/a> cPanel, Plesk, DirectAdmin en ispmanager, en ontwikkelt ook de websitebouwer SitePad, het hosting control panel Webuzo, het back-upsysteem Backuply en het panel Virtualizor voor het beheer van virtuele servers. Tijdens de aanval slaagde de aanvaller erin om een vervalste update voor het Virtualizor-paneel te publiceren, die kwaadaardige code bevatte. Het aantal gebruikers dat deze update heeft ge\u00efnstalleerd, is nog onduidelijk. <\/p>\n

De vervalste BGP-aankondiging die de routering voor het subnet 162.55.80.0\/24 wijzigde, werd verzonden vanuit autonome systeem AS62390 (NexonHost) via de transitprovider AS6204 (Zet.net). De routeringsinbreuk duurde 33 uur van 28 augustus 23:57 (MSK) tot 30 augustus 08:50 (MSK). De kans dat een verzoek tijdens de piek van de aanval via server<\/a> de aanvallers werd geleid, werd geschat op 72% (266 van de 368 BGP-peers maakten gebruik van de vervalste route). <\/p>\n

Gebruikers van Softaculous-producten, die doorgaans hostingproviders zijn, wordt aangeraden hun systemen te controleren op de activiteit van malware en het wachtwoord voor de Softaculous-services te wijzigen. Administrators van Virtualizor wordt aangeraden om hun systemen als potentieel gecompromitteerd te beschouwen en de toegangssleutels tot de API en klant-sleutels te wijzigen. Een van de indicatoren van compromittering is het verschijnen van het bestand «\\\/etc\\\/systemd\\\/system\\\/java-jre-update.service» in het systeem. Klanten die tijdens de aanval creditcardnummers hebben ingevoerd op de website softaculous.com\\\/clients, wordt aangeraden om verdachte transacties te controleren. <\/p>\n

Domeinen die door de aanval zijn getroffen: <\/p>\n