Et BGP-kapringsangrep mot Virtualizor gjorde det mulig for hackere å omdirigere trafikk for programvareoppdateringer og sende en skadelig oppdateringspakke til et lite antall VPS-administrasjonsservere.
Hendelsen påvirket oppdateringsinfrastruktur drevet av Softaculous, selskapet bak Virtualizor. Leverandøren opplyser at angrepet fant sted mellom 28. og 30. august.
Angripere omdirigerte Virtualizors oppdateringstrafikk
Virtualizor er et webkontrollpanel som hostingleverandører bruker til å opprette, selge og administrere virtuelle private servere.
Softaculous opplyste at en angriper kapret Border Gateway Protocol-ruter for en blokk med IP-adresser som Hetzner hoster. Den falske rutekunngjøringen omdirigerte trafikk som var ment for selskapets oppdateringssystemer og kundeportal.
I et BGP-kapringsangrep annonserer et nettverk feilaktig at det kan rute trafikk for IP-adresser som tilhører en annen organisasjon. Nettverk som godtar kunngjøringen, kan deretter sende trafikk til angriperen i stedet for til den egentlige destinasjonen.
Angriperen brukte denne tilgangen til å omdirigere oppdateringsforespørsler til skadelige servere.
Bare et fåtall servere mottok oppdateringen
Softaculous bekreftet at skadelige Virtualizor-oppdateringspakker nådde et lite antall installasjoner som søkte etter oppdateringer i angrepsperioden.
Selskapet opplyste at hendelsen bare påvirket en håndfull servere, ikke den bredere Virtualizor-brukerbasen. Fordi angriperen fanget opp trafikken, har Softaculous ikke fullstendige logger over berørte systemer.
Administratorer bør kontrollere om følgende tjenestefil finnes:
/etc/systemd/system/java-jre-update.service
Hvis den finnes, bør operatører rotere og begrense API-opplysninger. De bør også gjennomgå systemene sine for uautoriserte SSH-nøkler, brukerkontoer, planlagte oppgaver og uvanlige utgående forbindelser.
Softaculous lanserer sikkerhetsoppdatering
Personer som logget inn på Softaculous» kundeportal eller oppga betalingsopplysninger i hendelsesperioden, bør tilbakestille passordene sine, kontrollere kontoaktivitet og følge med på kortutskrifter.
Softaculous opplyste at selskapet har gjenopprettet normal ruting og meldt det falske sertifikatet for tilbakekalling. Undersøkelsen pågår fortsatt, men selskapet har ikke funnet tegn på at angrepet påvirket andre produkter.
- september lanserte selskapet Virtualizor versjon 3.2.9.9. Versjonen legger til verktøyet Security Analyzer i administrasjonspanelet.
Softaculous planlegger også å innføre kryptografisk signering for alle programvarepakker og flytte tjenestene sine til sikrere infrastruktur.
0 responses to “Virtualizor BGP-kapring leverer skadelig programvareoppdatering”