Những kẻ tấn công đã có thể giả mạo các thành phần trong cơ sở hạ tầng của Softaculous bằng cách chèn một tuyến đường giả mạo thông qua BGP, chuyển hướng lưu lượng truy cập từ mạng con chứa các máy chủ Softaculous đến một máy chủ do chúng kiểm soát. Cuộc tấn công, trong số những việc khác, đã chuyển hướng các yêu cầu đến trang web khách hàng, hệ thống thanh toán và máy chủ phân phối bản cập nhật phần mềm Virtualizor của công ty, sau đó chúng sử dụng những nơi này để phát tán phần mềm độc hại và tấn công khách hàng của công ty. Những kẻ tấn công đã có thể lấy được chứng chỉ TLS hợp lệ cho các tên miền của Softaculous thông qua dịch vụ Let's Encrypt, vì việc xác minh quyền sở hữu tên miền tự động được thực hiện thông qua các máy chủ giả mạo.
Softaculous cung cấp một nền tảng cùng tên để tự động hóa việc cài đặt các ứng dụng web, tích hợp với... bảng điều khiển máy chủ Tin tặc đã phát triển cPanel, Plesk, DirectAdmin và ispmanager, đồng thời cũng phát triển trình tạo website SitePad, bảng điều khiển hosting Webuzo, hệ thống sao lưu Backuply và bảng điều khiển Virtualizor để quản lý máy chủ ảo. Trong cuộc tấn công, tin tặc đã успела phát hành một bản cập nhật giả mạo cho bảng điều khiển Virtualizor chứa mã độc. Số lượng người dùng đã cài đặt bản cập nhật này vẫn chưa được biết.
Một thông báo BGP giả mạo nhằm thay đổi định tuyến cho mạng con 162.55.80.0/24 đã được gửi từ hệ thống tự trị AS62390 (NexonHost) thông qua nhà cung cấp dịch vụ trung chuyển AS6204 (Zet.net). Sự gián đoạn định tuyến kéo dài 33 giờ, từ 23:57 ngày 28 tháng 8 (giờ Moscow) đến 08:50 ngày 30 tháng 8 (giờ Moscow). Xác suất yêu cầu được thông qua máy chủ Tỷ lệ thành công của kẻ tấn công trong giai đoạn cao điểm của cuộc tấn công được ước tính là 72% (266 trong số 368 thiết bị ngang hàng BGP đã sử dụng tuyến đường giả mạo).
Người dùng các sản phẩm Softaculous, thường là các nhà cung cấp dịch vụ lưu trữ, được khuyến cáo nên quét hệ thống của mình để tìm hoạt động của phần mềm độc hại và thay đổi mật khẩu cho các dịch vụ Softaculous. Quản trị viên Virtualizor được khuyến cáo nên xem xét hệ thống của mình có khả năng bị xâm phạm và thay đổi khóa truy cập API và khóa máy khách. Sự xuất hiện của tệp "/etc/systemd/system/java-jre-update.service" trong hệ thống là một trong những dấu hiệu cho thấy hệ thống đã bị xâm phạm. Khách hàng đã nhập số thẻ thanh toán trên softaculous.com/clients trong thời gian xảy ra cuộc tấn công nên kiểm tra các giao dịch đáng ngờ.
Các tên miền bị ảnh hưởng bởi cuộc tấn công:
- a.softaculous.com,
- ampps.com,
- api.sitepad.com,
- api.softaculous.com,
- api.virtualizor.com,
- api.webuzo.com,
- backuply.com,
- files.ampps.com,
- files.sitepad.com,
- files.softaculous.com,
- files.virtualizor.com,
- files.webuzo.com,
- pagelayer.com,
- popularfx.com,
- server.softaculous.com,
- sitepad.com,
- softaculous.com, v
- irtualizor.com,
- webuzo.com,
- www.ampps.com,
- www.backuply.com,
- www.popularfx.com,
- www.sitepad.com,
- www.softaculous.com,
- www.virtualizor.com,
- www.webuzo.com.
Nguồn: opennet.ru
