Атакуючі змогли підмінити елементи інфраструктури компанії Softaculous, здійснивши підстановку фіктивного маршруту через протокол BGP, завдяки якому вдалося перенаправити трафік підмережі з серверами Softaculous на сервер підконтрольний атакуючим. В результаті атаки, серед іншого, вдалося перенаправити звернення до клієнтського web-сайту компанії, білінгу та серверів розповсюдження оновлень для ПЗ Virtualizor, після чого використовувати їх для поширення шкідливого ПЗ та атаки на клієнтів компанії. Атакуючі змогли отримати через сервіс Let's Encrypt коректні TLS-сертифікати для доменів Softaculous, оскільки автоматична перевірка володіння доменами пройшла через підмінені хости.
Компанія Softaculous постачає однойменну платформу для автоматизації встановлення web-додатків, що інтегрується з панелями управління хостингом cPanel, Plesk, DirectAdmin та ispmanager, а також розвиває конструктор сайтів SitePad, панель керування хостингом Webuzo, систему резервного копіювання Backuply та панель Virtualizor для керування віртуальними серверами. Під час атаки зловмисникам вдалося опублікувати фіктивне оновлення до панелі Virtualizor, що містить шкідливий код. Число користувачів, які встановили це оновлення, поки не зрозуміло.
Фіктивний BGP-анонс, що змінює маршрутизацію для підмережі 162.55.80.0/24, був відправлений із автономної системи AS62390 (NexonHost) через транзитного провайдера AS6204 (Zet.net). Порушення маршрутизації тривало 33 години з 28 серпня о 23:57 (MSK) до 30 серпня о 08:50 (MSK). Імовірність проходження запиту через сервер атакуючого в пікові фази атаки оцінювалася в 72% (266 із 368 BGP-бенкетів застосували фіктивний маршрут).
Користувачам продуктів Softaculous, якими зазвичай є хостинг-провайдери, рекомендовано перевірити свої системи щодо активності шкідливого ПЗ і змінити пароль доступу до сервісів Softaculous. Адміністраторам Virtualizor рекомендовано вважати свої системи потенційно скомпрометованими та поміняти ключі доступу до API та клієнтські ключі. Як один з індикаторів компрометації відзначається поява в системі файлу "/etc/systemd/system/java-jre-update.service". Клієнтам, які вводили під час атаки номери платіжних карток на сайті softaculous.com/clients, слід перевірити наявність підозрілих транзакцій.
Домени, які торкнулася атаки:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Джерело: opennet.ru
