{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Atakuj\u0105cy u\u017cyli BGP do podmiany serwera aktualizacji Virtualizor oraz strony Softaculous","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Atakuj\u0105cy zdo\u0142ali podmieni\u0107 elementy infrastruktury firmy Softaculous, wprowadzaj\u0105c fa\u0142szyw\u0105 tras\u0119 przez protok\u00f3\u0142 BGP, co umo\u017cliwi\u0142o przekierowanie ruchu z podsieci z serwerami Softaculous na serwer kontrolowany przez atakuj\u0105cych. W wyniku ataku, mi\u0119dzy innymi, uda\u0142o si\u0119 przekierowa\u0107 zapytania do klient\u00f3w strony internetowej firmy, systemu rozliczeniowego oraz serwer\u00f3w dystrybucji aktualizacji oprogramowania Virtualizor, a nast\u0119pnie wykorzysta\u0107 je do rozprzestrzeniania z\u0142o\u015bliwego oprogramowania i atak\u00f3w na klient\u00f3w firmy. Atakuj\u0105cy zdobyli poprawne certyfikaty TLS dla domen Softaculous za po\u015brednictwem us\u0142ugi Let\u2019s Encrypt, poniewa\u017c automatyczna weryfikacja w\u0142asno\u015bci domen przesz\u0142a przez podmienione hosty. <\/p>\n

Firma Softaculous dostarcza platform\u0119 o tej samej nazwie do automatyzacji instalacji aplikacji webowych, zintegrowan\u0105 z panelami zarz\u0105dzaj\u0105cymi hostingiem<\/a> cPanel, Plesk, DirectAdmin i ispmanager, a tak\u017ce rozwija kreator stron SitePad, panel zarz\u0105dzania hostingiem Webuzo, system tworzenia kopii zapasowych Backuply oraz panel Virtualizor do zarz\u0105dzania serwerami wirtualnymi. W trakcie ataku przest\u0119pcom uda\u0142o si\u0119 opublikowa\u0107 fikcyjn\u0105 aktualizacj\u0119 panelu Virtualizor, zawieraj\u0105c\u0105 z\u0142o\u015bliwy kod. Liczba u\u017cytkownik\u00f3w, kt\u00f3rzy zainstalowali t\u0119 aktualizacj\u0119, jest na razie nieznana. <\/p>\n

Fikcyjny anons BGP, zmieniaj\u0105cy trasowanie dla podsieci 162.55.80.0\/24, zosta\u0142 wys\u0142any z autonomicznego systemu AS62390 (NexonHost) przez dostawc\u0119 tranzytowego AS6204 (Zet.net). Naruszenie trasowania trwa\u0142o 33 godziny od 28 sierpnia 23:57 (MSK) do 30 sierpnia 08:50 (MSK). Prawdopodobie\u0144stwo, \u017ce zapytanie przesz\u0142o przez serwer<\/a> atakuj\u0105cego w szczytowych fazach ataku szacowano na 72% (266 z 368 przestawionych BGP peer\u00f3w u\u017cy\u0142o fikcyjnej trasy). <\/p>\n

U\u017cytkownikom produkt\u00f3w Softaculous, kt\u00f3rymi zazwyczaj s\u0105 dostawcy hostingu, zaleca si\u0119 sprawdzenie swoich system\u00f3w pod k\u0105tem aktywno\u015bci z\u0142o\u015bliwego oprogramowania oraz zmian\u0119 has\u0142a dost\u0119pu do us\u0142ug Softaculous. Administratorom Virtualizor zaleca si\u0119 traktowanie swoich system\u00f3w jako potencjalnie skompromitowanych oraz zmian\u0119 kluczy dost\u0119pu do API oraz kluczy klient\u00f3w. Jako jeden z wska\u017anik\u00f3w kompromitacji, odnotowano pojawienie si\u0119 w systemie pliku \u201e\/etc\/systemd\/system\/java-jre-update.service\u201d. Klientom, kt\u00f3rzy w czasie ataku wprowadzali numery kart p\u0142atniczych na stronie softaculous.com\/clients, zaleca si\u0119 sprawdzenie obecno\u015bci podejrzanych transakcji. <\/p>\n

Domeny dotkni\u0119te atakiem: <\/p>\n