Softaculous bị chiếm tuyến BGP trong 33 giờ, phát tán gói cập nhật độc hại
"Softaculous reported a 33-hour BGP hijack that redirected traffic for some of its Hetzner-hosted services, including Virtualizor update and client-area endpoints, to an attacker-controlled server. The incident enabled credential exposure risk and delivery of a malicious Virtualizor update package to a handful of installations; the vendor advised password resets, credential rotation, and server integrity checks, and noted its update clients did not yet cryptographically verify packages."
Rủi ro lộ thông tin xác thực và cài đặt gói cập nhật độc hại; cần kiểm tra toàn vẹn hệ thống và dấu hiệu xâm nhập trên các máy chủ Virtualizor.
Có thể gây gián đoạn vận hành, phát sinh xử lý sự cố diện rộng và ảnh hưởng niềm tin khách hàng; cần ưu tiên xoay vòng thông tin đăng nhập và rà soát hệ thống sớm.
Softaculous cho biết một sự cố BGP hijack kéo dài 33 giờ đã chuyển hướng lưu lượng của một số dịch vụ chạy trên Hetzner, gồm Virtualizor update endpoint và client area/billing site, sang máy chủ do kẻ tấn công kiểm soát. Trong thời gian này, một số kết nối có thể bị lộ thông tin đăng nhập và một số cài đặt đã nhận gói cập nhật Virtualizor độc hại.
Theo mô tả của nhà cung cấp, tuyến quảng bá trái phép được chấp nhận rộng rãi trên Internet do ưu tiên của route cụ thể hơn trong BGP. Softaculous cũng cho biết kẻ tấn công có thể lấy được chứng chỉ TLS hợp lệ từ Let’s Encrypt, khiến người dùng khó nhận biết bất thường qua cảnh báo trình duyệt.
Nhà cung cấp khuyến nghị khách hàng đổi mật khẩu cho tài khoản client area, xoay vòng API credentials, kiểm tra SSH keys, tài khoản lạ, scheduled tasks, kết nối ra ngoài và xác minh toàn vẹn máy chủ. Softaculous cũng đang vô hiệu hóa các phiên client area được tạo trong khung thời gian sự cố. Do update client chưa xác minh mật mã gói cập nhật, mọi quản trị viên Virtualizor nên coi hệ thống của mình là cần kiểm tra, dù chưa chắc đã bị xâm nhập.