攻擊者透過BGP協定插入一條偽造路由，成功竄改了Softaculous的基礎設施，將來自包含Softaculous伺服器的子網路的流量重新導向到攻擊者控制的伺服器。這次攻擊不僅重定向了對該公司客戶網站、計費系統和Virtualizor軟體更新分發伺服器的請求，還利用這些伺服器傳播惡意軟體並攻擊該公司的客戶。由於偽造的主機執行了自動網域所有權驗證，攻擊者透過Let's Encrypt服務取得了Softaculous網域的有效TLS憑證。
Softaculous 提供了一個同名平台，用於自動化安裝 Web 應用程序，該平台與以下系統整合： 主機控制面板 cPanel、Plesk、DirectAdmin 和 ispmanager 等軟體，以及 SitePad 網站建立工具、Webuzo 主機控制面板、Backuply 備份系統和用於管理虛擬伺服器的 Virtualizor 控制面板，均由該公司開發。攻擊期間，攻擊者設法向 Virtualizor 控制面板發布了一個包含惡意程式碼的虛假更新。目前尚不清楚有多少用戶安裝了此更新。
自治系統 AS62390 (NexonHost) 透過傳輸提供者 AS6204 (Zet.net) 發送了一條偽造的 BGP 通告，更改了 162.55.80.0/24 子網路的路由。路由中斷持續了 33 小時，從 8 月 28 日 23:57（莫斯科時間）到 8 月 30 日 08:50（莫斯科時間）。請求通過的機率 服務器 在攻擊高峰期，攻擊者的成功率估計為 72%（368 個 BGP 對等體中有 266 個使用了偽造路由）。
Softaculous 產品使用者（通常是主機代管服務商）應掃描系統是否有惡意軟體活動，並變更 Softaculous 服務的密碼。 Virtualizor 管理員應考慮系統可能已被入侵，並更改 API 存取金鑰和用戶端金鑰。系統中出現「/etc/systemd/system/java-jre-update.service」檔案是系統被入侵的跡象之一。在攻擊期間於 softaculous.com/clients 輸入過支付卡號的客戶應檢查是否有可疑交易。
受攻擊影響的網域：
- a.softaculous.com，
- ampps.com
- api.sitepad.com
- api.softaculous.com
- api.virtualizor.com
- api.webuzo.com，
- backuply.com
- files.ampps.com
- files.sitepad.com，
- files.softaculous.com，
- files.virtualizor.com，
- files.webuzo.com，
- pagelayer.com，
- popularfx.com，
- server.softaculous.com，
- sitepad.com，
- softaculous.com，v
- irtualizor.com，
- webuzo.com，
- www.ampps.com
- www.backuply.com
- www.popularfx.com
- www.sitepad.com
- www.softaculous.com
- www.virtualizor.com
- www.webuzo.com。
來源： opennet.ru
