Angriparna kunde förfalska delar av Softaculous infrastruktur genom att infoga en falsk rutt via BGP, vilket omdirigerade trafik frÄn subnÀtet som innehöll Softaculous servrar till en server som kontrollerades av angriparna. Attacken omdirigerade bland annat förfrÄgningar till företagets klientwebbplats, faktureringssystem och distributionsservrar för Virtualizor-programuppdateringar, som de sedan anvÀnde för att distribuera skadlig programvara och attackera företagets klienter. Angriparna kunde fÄ giltiga TLS-certifikat för Softaculous-domÀner via tjÀnsten Let's Encrypt, eftersom automatisk verifiering av domÀnÀgande utfördes via de förfalskade vÀrdarna.
Softaculous tillhandahÄller en plattform med samma namn för att automatisera installationen av webbapplikationer, som integreras med vÀrdskap för kontrollpaneler cPanel, Plesk, DirectAdmin och ispmanager, och utvecklar Àven webbplatsbyggaren SitePad, kontrollpanelen för Webuzo-hosting, sÀkerhetskopieringssystemet Backuply och kontrollpanelen Virtualizor för hantering av virtuella servrar. Under attacken lyckades angriparna publicera en falsk uppdatering till Virtualizor-kontrollpanelen som innehöll skadlig kod. Antalet anvÀndare som installerade uppdateringen Àr fortfarande okÀnt.
En falsk BGP-annons som Àndrade routningen för subnÀtet 162.55.80.0/24 skickades frÄn det autonoma systemet AS62390 (NexonHost) via transitleverantören AS6204 (Zet.net). Routningsavbrottet varade i 33 timmar frÄn 28 augusti, 23:57 (Moskvatid) till 30 augusti, 08:50 (Moskvatid). Sannolikheten för att begÀran passerar server Angriparens framgÄngsgrad under attackens toppfaser uppskattades till 72 % (266 av 368 BGP-peer anvÀnde den falska rutten).
AnvÀndare av Softaculous-produkter, vanligtvis webbhotellleverantörer, rekommenderas att skanna sina system efter skadlig kod och Àndra sina lösenord för Softaculous-tjÀnster. Virtualizer-administratörer rekommenderas att övervÀga sina system som potentiellt komprometterade och Àndra sina API-Ätkomstnycklar och klientnycklar. Förekomsten av filen "/etc/systemd/system/java-jre-update.service" i systemet Àr en av indikatorerna pÄ kompromiss. Kunder som angav betalkortsnummer pÄ softaculous.com/clients under attacken bör kontrollera om det finns misstÀnkta transaktioner.
DomÀner som drabbats av attacken:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- filer.ampps.com,
- filer.sitepad.com,
- filer.softaculous.com,
- filer.virtualizor.com,
- filer.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
KĂ€lla: opennet.ru
