Angriparna kunde förfalska delar av Softaculous infrastruktur genom att infoga en falsk rutt via BGP, vilket omdirigerade trafik från subnätet som innehöll Softaculous servrar till en server som kontrollerades av angriparna. Attacken omdirigerade bland annat förfrågningar till företagets klientwebbplats, faktureringssystem och distributionsservrar för Virtualizor-programuppdateringar, som de sedan använde för att distribuera skadlig programvara och attackera företagets klienter. Angriparna kunde få giltiga TLS-certifikat för Softaculous-domäner via tjänsten Let's Encrypt, eftersom automatisk verifiering av domänägande utfördes via de förfalskade värdarna.
Softaculous tillhandahåller en plattform med samma namn för att automatisera installationen av webbapplikationer, som integreras med värdskap för kontrollpaneler cPanel, Plesk, DirectAdmin och ispmanager, och utvecklar även webbplatsbyggaren SitePad, kontrollpanelen för Webuzo-hosting, säkerhetskopieringssystemet Backuply och kontrollpanelen Virtualizor för hantering av virtuella servrar. Under attacken lyckades angriparna publicera en falsk uppdatering till Virtualizor-kontrollpanelen som innehöll skadlig kod. Antalet användare som installerade uppdateringen är fortfarande okänt.
En falsk BGP-annons som ändrade routningen för subnätet 162.55.80.0/24 skickades från det autonoma systemet AS62390 (NexonHost) via transitleverantören AS6204 (Zet.net). Routningsavbrottet varade i 33 timmar från 28 augusti, 23:57 (Moskvatid) till 30 augusti, 08:50 (Moskvatid). Sannolikheten för att begäran passerar server Angriparens framgångsgrad under attackens toppfaser uppskattades till 72 % (266 av 368 BGP-peer använde den falska rutten).
Användare av Softaculous-produkter, vanligtvis webbhotellleverantörer, rekommenderas att skanna sina system efter skadlig kod och ändra sina lösenord för Softaculous-tjänster. Virtualizer-administratörer rekommenderas att överväga sina system som potentiellt komprometterade och ändra sina API-åtkomstnycklar och klientnycklar. Förekomsten av filen "/etc/systemd/system/java-jre-update.service" i systemet är en av indikatorerna på kompromiss. Kunder som angav betalkortsnummer på softaculous.com/clients under attacken bör kontrollera om det finns misstänkta transaktioner.
Domäner som drabbats av attacken:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- filer.ampps.com,
- filer.sitepad.com,
- filer.softaculous.com,
- filer.virtualizor.com,
- filer.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Källa: opennet.ru
