En BGP-kapningsattack mot Virtualizor gjorde det möjligt för hackare att omdirigera trafik för programuppdateringar och skicka ett skadligt uppdateringspaket till ett litet antal VPS-hanteringsservrar.
Incidenten påverkade uppdateringsinfrastruktur som drivs av Softaculous, företaget bakom Virtualizor. Leverantören uppger att attacken ägde rum mellan den 28 och 30 augusti.
Angripare omdirigerade Virtualizors uppdateringstrafik
Virtualizor är en webbkontrollpanel som webbhotell använder för att skapa, sälja och hantera virtuella privata servrar.
Softaculous uppgav att en angripare kapade Border Gateway Protocol-rutter för ett block med IP-adresser som Hetzner hostar. Det bedrägliga routingmeddelandet omdirigerade trafik som var avsedd för företagets uppdateringssystem och kundportal.
Vid en BGP-kapningsattack annonserar ett nätverk felaktigt att det kan dirigera trafik för IP-adresser som tillhör en annan organisation. Nätverk som godtar meddelandet kan då skicka trafiken till angriparen i stället för till den riktiga destinationen.
Angriparen använde denna åtkomst för att omdirigera uppdateringsförfrågningar till skadliga servrar.
Endast ett fåtal servrar fick uppdateringen
Softaculous bekräftade att skadliga uppdateringspaket för Virtualizor nådde ett litet antal installationer som sökte efter uppdateringar under attackperioden.
Företaget uppgav att incidenten endast påverkade ett fåtal servrar, inte den bredare användarbasen för Virtualizor. Eftersom angriparen avlyssnade trafiken har Softaculous inte fullständiga loggar över berörda system.
Administratörer bör kontrollera om följande tjänstfil finns:
/etc/systemd/system/java-jre-update.service
Om den finns bör operatörer rotera och begränsa API-uppgifter. De bör också granska sina system efter obehöriga SSH-nycklar, användarkonton, schemalagda aktiviteter och ovanliga utgående anslutningar.
Softaculous släpper säkerhetsuppdatering
Personer som loggade in på Softaculous kundportal eller angav betalningsuppgifter under incidentperioden bör återställa sina lösenord, kontrollera kontoaktivitet och övervaka kortutdrag.
Softaculous uppgav att företaget har återställt normal routing och rapporterat det bedrägliga certifikatet för återkallelse. Utredningen pågår fortfarande, men företaget har inte hittat några tecken på att attacken påverkade andra produkter.
Den 1 september släppte företaget Virtualizor version 3.2.9.9. Versionen lägger till verktyget Security Analyzer i administrationspanelen.
Softaculous planerar också att införa kryptografisk signering för alla programvarupaket och flytta sina tjänster till säkrare infrastruktur.
0 svar till ”Virtualizor BGP-kapning levererar skadlig programuppdatering”