攻击者通过BGP协议插入一条伪造路由，成功篡改了Softaculous的基础设施，将来自包含Softaculous服务器的子网的流量重定向到攻击者控制的服务器。此次攻击不仅重定向了对该公司客户网站、计费系统和Virtualizor软件更新分发服务器的请求，还利用这些服务器传播恶意软件并攻击该公司的客户。由于伪造的主机执行了自动域名所有权验证，攻击者通过Let's Encrypt服务获得了Softaculous域名的有效TLS证书。
Softaculous 提供了一个同名平台，用于自动化安装 Web 应用程序，该平台与以下系统集成： 主机控制面板 cPanel、Plesk、DirectAdmin 和 ispmanager 等软件，以及 SitePad 网站建设工具、Webuzo 主机控制面板、Backuply 备份系统和用于管理虚拟服务器的 Virtualizor 控制面板，均由该公司开发。攻击期间，攻击者设法向 Virtualizor 控制面板发布了一个包含恶意代码的虚假更新。目前尚不清楚有多少用户安装了此更新。
自治系统 AS62390 (NexonHost) 通过传输提供商 AS6204 (Zet.net) 发送了一条伪造的 BGP 通告，更改了 162.55.80.0/24 子网的路由。路由中断持续了 33 小时，从 8 月 28 日 23:57（莫斯科时间）到 8 月 30 日 08:50（莫斯科时间）。请求通过的概率 服务器 在攻击高峰期，攻击者的成功率估计为 72%（368 个 BGP 对等体中有 266 个使用了伪造路由）。
Softaculous 产品用户（通常是主机托管服务商）应扫描系统是否存在恶意软件活动，并更改 Softaculous 服务的密码。Virtualizor 管理员应考虑系统可能已被入侵，并更改 API 访问密钥和客户端密钥。系统中出现“/etc/systemd/system/java-jre-update.service”文件是系统被入侵的迹象之一。在攻击期间于 softaculous.com/clients 输入过支付卡号的客户应检查是否存在可疑交易。
受攻击影响的域名：
- a.softaculous.com，
- ampps.com
- api.sitepad.com
- api.softaculous.com
- api.virtualizor.com
- api.webuzo.com，
- backuply.com
- files.ampps.com
- files.sitepad.com，
- files.softaculous.com，
- files.virtualizor.com，
- files.webuzo.com，
- pagelayer.com，
- popularfx.com，
- server.softaculous.com，
- sitepad.com，
- softaculous.com，v
- irtualizor.com，
- webuzo.com，
- www.ampps.com
- www.backuply.com
- www.popularfx.com
- www.sitepad.com
- www.softaculous.com
- www.virtualizor.com
- www.webuzo.com。
来源： opennet.ru
