Virtualizor-BGP-Hijacking liefert bösartiges Software-Update

Ein BGP-Hijacking-Angriff auf Virtualizor ermöglichte es Hackern, den Datenverkehr für Software-Updates umzuleiten und ein bösartiges Update-Paket an eine kleine Anzahl von VPS-Verwaltungsservern zu senden.

Der Vorfall betraf die Update-Infrastruktur von Softaculous, dem Unternehmen hinter Virtualizor. Der Anbieter teilte mit, dass der Angriff zwischen dem 28. und 30. August stattfand.

Angreifer leiteten den Update-Verkehr von Virtualizor um

Virtualizor ist ein Web-Kontrollpanel, das Hosting-Anbieter nutzen, um virtuelle private Server zu erstellen, zu verkaufen und zu verwalten.

Softaculous teilte mit, dass ein Angreifer Border-Gateway-Protocol-Routen für einen Block von IP-Adressen kapert hatte, die bei Hetzner gehostet werden. Die betrügerische Routenankündigung leitete Datenverkehr um, der für die Update-Systeme und das Kundenportal des Unternehmens bestimmt war.

Bei einem BGP-Hijacking-Angriff behauptet ein Netzwerk fälschlicherweise, dass es Datenverkehr für IP-Adressen einer anderen Organisation weiterleiten kann. Netzwerke, die diese Ankündigung akzeptieren, können den Verkehr dann an den Angreifer statt an sein tatsächliches Ziel senden.

Der Angreifer nutzte diesen Zugriff, um Update-Anfragen an bösartige Server umzuleiten.

Nur wenige Server erhielten das Update

Softaculous bestätigte, dass bösartige Virtualizor-Update-Pakete eine kleine Anzahl von Installationen erreichten, die während des Angriffszeitraums nach Updates suchten.

Das Unternehmen erklärte, dass der Vorfall nur eine Handvoll Server und nicht die breitere Virtualizor-Nutzerbasis betraf. Weil der Angreifer den Datenverkehr abfing, verfügt Softaculous nicht über vollständige Protokolle der betroffenen Systeme.

Administratoren sollten nach der folgenden Dienstdatei suchen:

/etc/systemd/system/java-jre-update.service

Falls sie vorhanden ist, sollten Betreiber API-Zugangsdaten rotieren und einschränken. Sie sollten ihre Systeme außerdem auf unbefugte SSH-Schlüssel, Benutzerkonten, geplante Aufgaben und ungewöhnliche ausgehende Verbindungen prüfen.

Softaculous veröffentlicht Sicherheitsupdate

Personen, die sich während des Vorfallszeitraums im Softaculous-Kundenbereich anmeldeten oder Zahlungsdaten eingaben, sollten ihre Passwörter zurücksetzen, die Kontoaktivität überprüfen und Kreditkartenabrechnungen überwachen.

Softaculous teilte mit, dass das Unternehmen die normale Weiterleitung wiederhergestellt und das betrügerische Zertifikat zur Sperrung gemeldet hat. Die Untersuchung dauert an, doch das Unternehmen hat keine Hinweise darauf gefunden, dass der Angriff andere Produkte betraf.

Am 1. September veröffentlichte das Unternehmen Virtualizor Version 3.2.9.9. Die Veröffentlichung fügt dem Administrationsbereich das Tool Security Analyzer hinzu.

Softaculous plant außerdem, kryptografische Signaturen für alle Softwarepakete einzuführen und seine Dienste auf sicherere Infrastruktur zu verlagern.