Saldırganlar, BGP üzerinden sahte bir rota ekleyerek Softaculous'un altyapısının bazı unsurlarını taklit edebildiler. Bu sahte rota, Softaculous sunucularını içeren alt ağdan gelen trafiği saldırganların kontrolündeki bir sunucuya yönlendiriyordu. Saldırı, diğer şeylerin yanı sıra, şirketin müşteri web sitesine, faturalama sistemine ve Virtualizor yazılım güncelleme dağıtım sunucularına gelen istekleri yönlendirdi ve saldırganlar bunları kötü amaçlı yazılım dağıtmak ve şirketin müşterilerine saldırmak için kullandılar. Saldırganlar, taklit edilen sunucular üzerinden otomatik alan adı sahipliği doğrulaması yapıldığı için Let's Encrypt hizmeti aracılığıyla Softaculous alan adları için geçerli TLS sertifikaları elde edebildiler.
Softaculous, web uygulamalarının kurulumunu otomatikleştirmek için aynı adı taşıyan bir platform sunar ve bu platform, aşağıdakilerle entegre olur: barındırma kontrol panelleri cPanel, Plesk, DirectAdmin ve ispmanager'ı geliştiren şirket ayrıca SitePad web sitesi oluşturucu, Webuzo hosting kontrol paneli, Backuply yedekleme sistemi ve sanal sunucuları yönetmek için Virtualizor kontrol panelini de geliştiriyor. Saldırı sırasında, saldırganlar Virtualizor kontrol paneline kötü amaçlı kod içeren sahte bir güncelleme yayınlamayı başardı. Bu güncellemeyi yükleyen kullanıcı sayısı henüz bilinmiyor.
162.55.80.0/24 alt ağı için yönlendirmeyi değiştiren sahte bir BGP duyurusu, özerk sistem AS62390 (NexonHost) tarafından transit sağlayıcı AS6204 (Zet.net) üzerinden gönderildi. Yönlendirme kesintisi, 28 Ağustos 23:57 (Moskova saati) ile 30 Ağustos 08:50 (Moskova saati) arasında 33 saat sürdü. İsteğin geçme olasılığı... sunucu Saldırının en yoğun aşamalarında saldırganın başarı oranı %72 olarak tahmin edildi (368 BGP eşinden 266'sı sahte rotayı kullandı).
Softaculous ürünlerini kullananlar (genellikle hosting sağlayıcıları), sistemlerini kötü amaçlı yazılım faaliyetlerine karşı taramaları ve Softaculous hizmetleri için şifrelerini değiştirmeleri konusunda uyarılmaktadır. Virtualizor yöneticilerinin sistemlerinin potansiyel olarak tehlikeye girmiş olabileceğini göz önünde bulundurmaları ve API erişim anahtarlarını ve istemci anahtarlarını değiştirmeleri önerilir. Sistemde "/etc/systemd/system/java-jre-update.service" dosyasının görünmesi, tehlikeye girmenin göstergelerinden biridir. Saldırı sırasında softaculous.com/clients adresine ödeme kartı numaralarını giren müşteriler, şüpheli işlemleri kontrol etmelidir.
Saldırıdan etkilenen alan adları:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- dosyalar.ampps.com,
- dosyalar.sitepad.com,
- dosyalar.softaculous.com,
- dosyalar.virtualizor.com,
- dosyalar.webuzo.com,
- pagelayer.com,
- popularfx.com,
- sunucu.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Kaynak: opennet.ru
