BGP-перехват использовали для доставки вредоносных обновлений Virtualizor

Неизвестные атакующие провели атаку на цепочку поставки ПО, перехватив маршрутизацию к IP-адресам компании Softaculous. Эти адреса использовались в том числе для распространения обновлений платформы управления виртуализированными средами Virtualizor. Получив контроль над маршрутом, злоумышленники выдавали вредоносные пакеты за легитимные обновления.

Атака была проведена через BGP-перехват. По данным Ars Technica, успеху операции способствовали недостатки в настройках защиты маршрутизации у хостинг-провайдера Hetzner Online, а также проблемы в процедуре получения действительных TLS-сертификатов.

Критическим фактором стало то, что клиенты Virtualizor на тот момент не проверяли пакеты обновлений криптографически. Softaculous предупредила: если трафик конкретной установки был перенаправлен во время инцидента, она могла получить вредоносный пакет с сервера атакующих, и приложение не отклонило бы его на основании проверки подписи.

По оценке компании, затронуто могло быть лишь небольшое число серверов, однако составить исчерпывающий список она не может. Поэтому Softaculous рекомендует считать потенциально затронутыми все серверы с Virtualizor и провести предложенные проверки.

Перехват происходил двумя эпизодами в пределах 33 часов. После начала первой атаки Hetzner примерно через 12 часов восстановила корректное объявление маршрута и вернула адресное пространство. Затем провайдер прекратил объявлять этот маршрут, чем атакующие воспользовались для повторного перехвата; во второй раз реакция Hetzner заняла почти 10 часов.