{"id":183229,"date":"2026-09-02T10:53:39","date_gmt":"2026-09-02T08:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/atakuyushhie-ispolzovali-bgp-dlya-podmeny-servera-obnovlenij-virtualizor-i-sajta-softaculous"},"modified":"2026-09-02T10:53:42","modified_gmt":"2026-09-02T08:53:42","slug":"attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/attackers-used-bgp-to-hijack-virtualizor-update-server-and-softaculous-website","title":{"rendered":"Os atacantes usaram BGP para substituir o servidor de atualiza\u00e7\u00f5es do Virtualizor e o site do Softaculous","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Os atacantes conseguiram substituir elementos da infraestrutura da empresa Softaculous, realizando a substitui\u00e7\u00e3o de um caminho fict\u00edcio atrav\u00e9s do protocolo BGP, permitindo redirecionar o tr\u00e1fego da sub-rede com os servidores da Softaculous para um servidor sob controle dos atacantes. Como resultado do ataque, entre outras coisas, foi poss\u00edvel redirecionar solicita\u00e7\u00f5es para o site de clientes da empresa, sistema de faturamento e servidores de distribui\u00e7\u00e3o de atualiza\u00e7\u00f5es para o software Virtualizor, utilizando-os para espalhar malware e atacar os clientes da empresa. Os atacantes conseguiram obter atrav\u00e9s do servi\u00e7o Let's Encrypt certificados TLS v\u00e1lidos para os dom\u00ednios da Softaculous, j\u00e1 que a verifica\u00e7\u00e3o autom\u00e1tica de posse dos dom\u00ednios foi realizada atrav\u00e9s de hosts substitu\u00eddos. <\/p>\n

A Softaculous fornece a plataforma hom\u00f4nima para automa\u00e7\u00e3o da instala\u00e7\u00e3o de aplicativos web, integrada com pain\u00e9is de controle de hospedagem<\/a> cPanel, Plesk, DirectAdmin e ispmanager, al\u00e9m de desenvolver o construtor de sites SitePad, o painel de controle de hospedagem Webuzo, o sistema de backup Backuply e o painel Virtualizor para gerenciar servidores virtuais. Durante o ataque, os criminosos conseguiram publicar uma atualiza\u00e7\u00e3o falsa para o painel Virtualizor, contendo c\u00f3digo malicioso. O n\u00famero de usu\u00e1rios que instalaram essa atualiza\u00e7\u00e3o ainda n\u00e3o \u00e9 claro. <\/p>\n

Um an\u00fancio BGP falso, alterando a roteamento para a sub-rede 162.55.80.0\/24, foi enviado do sistema aut\u00f4nomo AS62390 (NexonHost) atrav\u00e9s do provedor de tr\u00e2nsito AS6204 (Zet.net). A viola\u00e7\u00e3o de roteamento durou 33 horas, de 28 de agosto \u00e0s 23:57 (MSK) at\u00e9 30 de agosto \u00e0s 08:50 (MSK). A probabilidade de um pedido passar pelo servidor<\/a> atacante nos picos do ataque foi estimada em 72% (266 dos 368 pares BGP aplicaram o caminho falso). <\/p>\n

Recomenda-se que os usu\u00e1rios dos produtos da Softaculous, que geralmente s\u00e3o provedores de hospedagem, verifiquem seus sistemas quanto \u00e0 atividade de malware e alterem a senha de acesso aos servi\u00e7os da Softaculous. Os administradores do Virtualizor devem considerar seus sistemas potencialmente comprometidos e mudar as chaves de acesso \u00e0 API e as chaves de cliente. Um dos indicadores de compromiss\u00e3o \u00e9 a apari\u00e7\u00e3o do arquivo \"\/etc\/systemd\/system\/java-jre-update.service\" no sistema. Os clientes que inseriram n\u00fameros de cart\u00f5es de pagamento no site softaculous.com\/clients durante o ataque devem verificar a exist\u00eancia de transa\u00e7\u00f5es suspeitas. <\/p>\n

Dom\u00ednios afetados pelo ataque: <\/p>\n