Хакери испорачале злонамерно ажурирање на Virtualizor во напад со киднапирање на BGP

Хакери испорачале злонамерни ажурирања на софтверот за управување со VPS-сервери Virtualizor, откако извршиле киднапирање на BGP-рутирањето за неговата инфраструктура за ажурирања и ги пренасочиле барањата за ажурирање кон злонамерни сервери.

Virtualizor е постар веб-контролен панел од Softaculous, кој хостинг-провајдерите го користат за креирање, продажба и управување со виртуелни приватни сервери (VPS).

Во итно известување, производителот предупредува дека помеѓу 20:57 часот по UTC на 28 август и 06:10 часот по UTC на 30 август, напаѓач пренасочувал блок IP-адреси хостирани кај Hetzner во напад со киднапирање на BGP (Border Gateway Protocol).

Ова му овозможило на напаѓачот да го пренасочи сообраќајот од системите на Softaculous за ажурирање на софтверот, како и од порталот за клиенти и наплата.

BGP-кidnapирање се случува кога мрежен оператор лажно објавува рута до IP-адреси што му припаѓаат на друга организација. Други организации може да ја прифатат лажната рута како претпочитана.

Напаѓачот кој на овој начин ќе добие пристап до сообраќајот може да го измени или пренасочи кон злонамерни дестинации.

Softaculous наведува дека BGP-кidnapирањето им овозможило на хакерите да испорачаат злонамерно ажурирање на Virtualizor до мал број инсталации.

„Потврдивме дека злонамерен пакет за ажурирање на Virtualizor бил испорачан до мал број инсталации кои проверувале за ажурирања додека нивниот сообраќај бил пренасочен“, наведува производителот.

„Ова влијаеше на неколку сервери, а не на целокупната корисничка база на Virtualizor.“

Бидејќи барањата биле пренасочувани кон напаѓачот, производителот на софтверот нема достапни логови. Softaculous им препорачува на операторите на Virtualizor да проверат дали постои следната услуга:

/etc/systemd/system/java-jre-update.service

Доколку биде пронајдена, администраторите треба да ги сменат и ограничат API-креденцијалите и да извршат ревизија на системите за неовластени SSH-клучеви, кориснички сметки, закажани задачи и излезни мрежни конекции.

Исто така, корисниците кои пристапиле до корисничкиот портал на Softaculous или внеле информации за плаќање во текот на периодот на инцидентот треба да ги ресетираат своите лозинки, да ја проверат активноста на сметката и да ги следат изводите од платежните картички.

Истрагата на Softaculous за инцидентот сè уште трае, но засега нема индикации дека биле погодени некои од другите нивни производи.

Softaculous наведува дека рутирањето сега е обновено, дека лажниот сертификат е пријавен за отповикување и дека на 1 септември е објавена нова верзија на Virtualizor, со број 3.2.9.9, која во административниот панел вклучува алатка „Security Analyzer“.

Компанијата исто така планира во иднина да воведе криптографско потпишување на сите софтверски пакети и да мигрира кон подобра инфраструктура.

Извори:

• Bleeping Computer – Hackers push malicious Virtualizor update in BGP hijacking attack Bleeping Computer