Os atacantes conseguiram substituir elementos da infraestrutura da Softaculous, realizando a substituição de um caminho falso através do protocolo BGP, o que permitiu redirecionar o tráfego da sub-rede com os servidores da Softaculous para um servidor controlado pelos atacantes. Como resultado do ataque, entre outras coisas, foi possível redirecionar acessos ao site da empresa, à cobrança e aos servidores de distribuição de atualizações para o software Virtualizor, após o que foram usados para espalhar malware e atacar os clientes da empresa. Os atacantes conseguiram obter através do serviço Let's Encrypt certificados TLS válidos para os domínios da Softaculous, uma vez que a verificação automática de propriedade dos domínios foi realizada através de hosts substitutos.
A Softaculous fornece a plataforma homônima para automação da instalação de aplicativos web, integrada com painéis de controle de hospedagem cPanel, Plesk, DirectAdmin e ispmanager, além de desenvolver o construtor de sites SitePad, o painel de controle de hospedagem Webuzo, o sistema de backup Backuply e o painel Virtualizor para gerenciar servidores virtuais. Durante o ataque, os criminosos conseguiram publicar uma atualização falsa para o painel Virtualizor, contendo código malicioso. O número de usuários que instalaram essa atualização ainda não é claro.
Um anúncio BGP falso, alterando a roteamento para a sub-rede 162.55.80.0/24, foi enviado do sistema autônomo AS62390 (NexonHost) através do provedor de trânsito AS6204 (Zet.net). A violação de roteamento durou 33 horas, de 28 de agosto às 23:57 (MSK) até 30 de agosto às 08:50 (MSK). A probabilidade de um pedido passar pelo servidor atacante nos picos do ataque foi estimada em 72% (266 dos 368 pares BGP aplicaram o caminho falso).
Os usuários dos produtos da Softaculous, que geralmente são provedores de hospedagem, são aconselhados a verificar seus sistemas quanto à atividade de malware e a alterar a senha de acesso aos serviços da Softaculous. Os administradores do Virtualizor são aconselhados a considerar seus sistemas potencialmente comprometidos e a trocar as chaves de acesso à API e as chaves de cliente. Como um dos indicadores de comprometimento, observa-se a presença no sistema do arquivo "/etc/systemd/system/java-jre-update.service". Clientes que inseriram números de cartões de pagamento no site softaculous.com/clients durante o ataque devem verificar a existência de transações suspeitas.
Domínios afetados pelo ataque:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Fonte: opennet.ru
