Перехват BGP-маршрута позволил подменить обновления Virtualizor

Разработчик Virtualizor сообщил об атаке с перехватом маршрутизации BGP, в результате которой часть запросов на обновление была перенаправлена на сервер злоумышленников. Через этот канал атакующие распространяли изменённый пакет Virtualizor среди некоторых установок платформы виртуализации.

По данным компании, инцидент продолжался примерно с 28 августа 20:57 UTC до 30 августа 06:10 UTC. Атакующие получили действительный сертификат Let's Encrypt в период перенаправления трафика, поэтому у подключавшихся систем не появлялось предупреждение о проблеме с сертификатом. Клиент обновлений Virtualizor не проверял криптографическую подпись пакета и не смог отклонить подменённую загрузку.

Virtualizor не располагает точным списком затронутых серверов и не называет диапазон уязвимых версий, поэтому рекомендует проверить все установки. Компания утверждает, что атака затронула лишь небольшое число серверов, а не всю пользовательскую базу Virtualizor.

Один из хостинг-провайдеров, AlbaHost, заявил, что обнаружил описанные вредоносные изменения на пяти из 34 проверенных гипервизоров Virtualizor. По его данным, код был добавлен в три штатных файла Virtualizor, после чего запускался заданием cron с правами root. Вредоносная цепочка добавляла ключ в учётную запись root, при необходимости устанавливала Java 17, загружала и запускала Java-полезную нагрузку, а затем закреплялась через службу systemd. Также был создан несанкционированный пользователь proxyuser.

Virtualizor 1 сентября выпустила Patch 9 со встроенным Security Analyzer для поиска известных индикаторов компрометации. Среди них — служба /etc/systemd/system/java-jre-update.service, файлы полезной нагрузки и признаки изменений в файлах Virtualizor. Компания советует при обнаружении признаков атаки сохранить доказательства и обратиться в поддержку до устранения последствий, а также сменить все API-ключи Virtualizor, ограничить доступ к API доверенными IP-адресами и проверить SSH-ключи, учётные записи, задания cron и исходящие соединения.

Пользователям клиентской зоны, которые входили в аккаунт или вводили платёжные данные в период атаки, рекомендовано сменить пароль, проверить активность учётной записи и выписки по картам. На 2 сентября Virtualizor не сообщала о подтверждённой краже данных клиентских аккаунтов или платёжной информации. Компания также просит проверить серверы с другими продуктами Softaculous, включая Webuzo, Softaculous, Backuply и SitePad, если те запрашивали обновления в указанный период: вредоносный пакет для них пока не выявлен, расследование продолжается.