Et BGP-kapringsangreb mod Virtualizor gjorde det muligt for hackere at omdirigere trafik for softwareopdateringer og sende en skadelig opdateringspakke til et lille antal VPS-administrationsservere.
Hændelsen påvirkede opdateringsinfrastruktur, som Softaculous, virksomheden bag Virtualizor, driver. Leverandøren oplyser, at angrebet fandt sted mellem den 28. og 30. august.
Angribere omdirigerede Virtualizors opdateringstrafik
Virtualizor er et webkontrolpanel, som hostingudbydere bruger til at oprette, sælge og administrere virtuelle private servere.
Softaculous oplyste, at en angriber kaprede Border Gateway Protocol-ruter for en blok af IP-adresser, som Hetzner hoster. Den falske routingmeddelelse omdirigerede trafik, der var beregnet til virksomhedens opdateringssystemer og kundeportal.
Ved et BGP-kapringsangreb annoncerer et netværk fejlagtigt, at det kan dirigere trafik for IP-adresser, som tilhører en anden organisation. Netværk, der accepterer meddelelsen, kan derefter sende trafik til angriberen i stedet for til den rigtige destination.
Angriberen brugte denne adgang til at omdirigere opdateringsanmodninger til skadelige servere.
Kun et fåtal servere modtog opdateringen
Softaculous bekræftede, at skadelige Virtualizor-opdateringspakker nåede et lille antal installationer, som søgte efter opdateringer under angrebsperioden.
Virksomheden oplyste, at hændelsen kun påvirkede en håndfuld servere og ikke den bredere Virtualizor-brugerbase. Fordi angriberen opfangede trafikken, har Softaculous ikke fuldstændige logfiler over berørte systemer.
Administratorer bør kontrollere, om følgende tjenestefil findes:
/etc/systemd/system/java-jre-update.service
Hvis den findes, bør operatører rotere og begrænse API-oplysninger. De bør også gennemgå deres systemer for uautoriserede SSH-nøgler, brugerkonti, planlagte opgaver og usædvanlige udgående forbindelser.
Softaculous frigiver sikkerhedsopdatering
Personer, der loggede ind på Softaculous’ kundeportal eller indtastede betalingsoplysninger under hændelsesperioden, bør nulstille deres adgangskoder, kontrollere kontoaktivitet og overvåge kortudtog.
Softaculous oplyste, at virksomheden har genoprettet normal routing og rapporteret det falske certifikat til tilbagekaldelse. Undersøgelsen fortsætter, men virksomheden har ikke fundet tegn på, at angrebet påvirkede andre produkter.
Den 1. september frigav virksomheden Virtualizor version 3.2.9.9. Udgivelsen tilføjer værktøjet Security Analyzer til administrationspanelet.
Softaculous planlægger også at indføre kryptografisk signering for alle softwarepakker og flytte sine tjenester til mere sikker infrastruktur.
0 svar til “Virtualizor BGP-kapring leverer ondsindet softwareopdatering”