Napadalci so lahko ponaredili elemente infrastrukture Softaculous tako, da so prek BGP-ja vstavili lažno pot, ki je preusmerila promet iz podomrežja s strežniki Softaculous na strežnik, ki so ga nadzorovali napadalci. Napad je med drugim preusmeril zahteve na spletno mesto strank podjetja, sistem za obračunavanje in strežnike za distribucijo posodobitev programske opreme Virtualizor, ki so jih nato uporabili za distribucijo zlonamerne programske opreme in napad na stranke podjetja. Napadalci so lahko pridobili veljavna potrdila TLS za domene Softaculous prek storitve Let's Encrypt, saj se je prek ponarejenih gostiteljev izvajalo samodejno preverjanje lastništva domene.
Softaculous ponuja istoimensko platformo za avtomatizacijo namestitve spletnih aplikacij, ki se integrira z nadzorne plošče za gostovanje cPanel, Plesk, DirectAdmin in ispmanager, razvija pa tudi graditelj spletnih strani SitePad, nadzorno ploščo za gostovanje Webuzo, sistem za varnostno kopiranje Backuply in nadzorno ploščo Virtualizor za upravljanje virtualnih strežnikov. Med napadom je napadalcem uspelo objaviti lažno posodobitev nadzorne plošče Virtualizor, ki je vsebovala zlonamerno kodo. Število uporabnikov, ki so namestili to posodobitev, še ni znano.
Iz avtonomnega sistema AS62390 (NexonHost) je bil prek ponudnika tranzita AS6204 (Zet.net) poslan lažni oglas BGP, ki je spreminjal usmerjanje za podomrežje 162.55.80.0/24. Motnja usmerjanja je trajala 33 ur, od 28. avgusta ob 23:57 (moskovski čas) do 30. avgusta ob 08:50 (moskovski čas). Verjetnost, da je zahteva prešla skozi strežnik Stopnja uspešnosti napadalca v največjih fazah napada je bila ocenjena na 72 % (266 od 368 BGP vrstnikov je uporabilo lažno pot).
Uporabnikom izdelkov Softaculous, običajno ponudnikom gostovanja, svetujemo, da pregledajo svoje sisteme glede aktivnosti zlonamerne programske opreme in spremenijo gesla za storitve Softaculous. Skrbnikom Virtualizorja svetujemo, da upoštevajo potencialno ogrožene sisteme in spremenijo ključe za dostop do API-ja in ključe odjemalcev. Pojav datoteke »/etc/systemd/system/java-jre-update.service« v sistemu je eden od kazalnikov ogrožanja. Stranke, ki so med napadom na softaculous.com/clients vnesle številke plačilnih kartic, naj preverijo morebitne sumljive transakcije.
Domene, ki jih je napad prizadel:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- strežnik.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Vir: opennet.ru
