ผู้โจมตีสามารถปลอมแปลงโครงสร้างพื้นฐานของ Softaculous ได้โดยการแทรกเส้นทางปลอมผ่าน BGP ซึ่งเปลี่ยนเส้นทางการรับส่งข้อมูลจากซับเน็ตที่มีเซิร์ฟเวอร์ Softaculous ไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม การโจมตีนี้รวมถึงการเปลี่ยนเส้นทางการร้องขอไปยังเว็บไซต์ลูกค้า ระบบการเรียกเก็บเงิน และเซิร์ฟเวอร์การแจกจ่ายซอฟต์แวร์อัปเดต Virtualizor ของบริษัท ซึ่งผู้โจมตีใช้เพื่อแจกจ่ายมัลแวร์และโจมตีลูกค้าของบริษัท ผู้โจมตีสามารถขอรับใบรับรอง TLS ที่ถูกต้องสำหรับโดเมน Softaculous ผ่านบริการ Let's Encrypt เนื่องจากมีการตรวจสอบความเป็นเจ้าของโดเมนโดยอัตโนมัติผ่านโฮสต์ที่ปลอมแปลงขึ้น
Softaculous เป็นแพลตฟอร์มชื่อเดียวกันที่ใช้ในการติดตั้งเว็บแอปพลิเคชันโดยอัตโนมัติ ซึ่งสามารถทำงานร่วมกับ... แผงควบคุมโฮสติ้ง บริษัทนี้เป็นผู้พัฒนาซอฟต์แวร์จัดการเซิร์ฟเวอร์เสมือน เช่น cPanel, Plesk, DirectAdmin และ ispmanager รวมถึง SitePad ซึ่งเป็นโปรแกรมสร้างเว็บไซต์, Webuzo ซึ่งเป็นแผงควบคุมการโฮสติ้ง, Backuply ซึ่งเป็นระบบสำรองข้อมูล และ Virtualizor ซึ่งเป็นแผงควบคุมสำหรับจัดการเซิร์ฟเวอร์เสมือน ในระหว่างการโจมตี ผู้โจมตีได้เผยแพร่การอัปเดตปลอมสำหรับแผงควบคุม Virtualizor ซึ่งมีโค้ดที่เป็นอันตราย จำนวนผู้ใช้ที่ติดตั้งการอัปเดตนี้ยังไม่เป็นที่ทราบแน่ชัด
มีการส่งโฆษณา BGP ปลอมที่เปลี่ยนแปลงเส้นทางการกำหนดเส้นทางสำหรับซับเน็ต 162.55.80.0/24 จากระบบอิสระ AS62390 (NexonHost) ผ่านผู้ให้บริการส่งต่อ AS6204 (Zet.net) การหยุดชะงักของเส้นทางกินเวลานาน 33 ชั่วโมง ตั้งแต่วันที่ 28 สิงหาคม เวลา 23:57 น. (เวลา Moscow) ถึงวันที่ 30 สิงหาคม เวลา 08:50 น. (เวลา Moscow) ความน่าจะเป็นที่คำขอจะผ่านไปได้ เซิร์ฟเวอร์ อัตราความสำเร็จของผู้โจมตีในช่วงที่มีการโจมตีสูงสุดนั้นคาดการณ์ไว้ที่ 72% (โดยมี BGP peer จำนวน 266 จาก 368 รายที่ใช้เส้นทางปลอม)
ผู้ใช้งานผลิตภัณฑ์ Softaculous ซึ่งโดยทั่วไปคือผู้ให้บริการโฮสติ้ง ควรตรวจสอบระบบของตนเพื่อหามัลแวร์และเปลี่ยนรหัสผ่านสำหรับบริการ Softaculous ส่วนผู้ดูแลระบบ Virtualizor ควรพิจารณาว่าระบบของตนอาจถูกโจมตีและควรเปลี่ยนคีย์การเข้าถึง API และคีย์ไคลเอ็นต์ การปรากฏของไฟล์ "/etc/systemd/system/java-jre-update.service" ในระบบเป็นหนึ่งในตัวบ่งชี้ของการถูกโจมตี ลูกค้าที่ป้อนหมายเลขบัตรเครดิตใน softaculous.com/clients ในระหว่างการโจมตีควรตรวจสอบธุรกรรมที่น่าสงสัย
โดเมนที่ได้รับผลกระทบจากการโจมตี:
- a.softaculous.com
- ampps.com
- api.sitepad.com,
- api.softaculous.com
- api.virtualizor.com
- api.webuzo.com,
- backuply.com
- ไฟล์.ampps.com
- ไฟล์.ไซต์แพด.com
- files.softaculous.com
- files.virtualizor.com,
- ไฟล์.webuzo.com
- pagelayer.com
- popularfx.com
- server.softaculous.com
- ไซต์แพด.com
- softaculous.com, v
- irtualizor.com
- เวบูโซ.com
- www.ampps.com
- www.backuply.com
- www.popularfx.com
- www.sitepad.com
- www.softaculous.com
- www.virtualizor.com
- www.webuzo.com
ที่มา: opennet.ru
