Virtualizor cảnh báo gói cập nhật bị chèn mã độc qua BGP hijack
"Virtualizor reported that attackers used a BGP hijack to divert Softaculous update traffic and deliver a malicious Virtualizor package to some installations between August 28 and August 30, 2026. The package modified core files to add attacker-controlled root access, install a Java payload, create persistence via a systemd service, and add an unauthorized user; Virtualizor released Patch 9 and a Security Analyzer, but said package signing was still pending and operators should scan, rotate credentials, and audit for persistence."
Nguy cơ chiếm quyền root và duy trì truy cập lâu dài trên máy chủ quản trị. Cần ưu tiên quét IoC, xoay vòng thông tin xác thực và kiểm tra dấu hiệu persistence.
Có thể ảnh hưởng đến hạ tầng hosting, quy trình cập nhật và niềm tin khách hàng. Nếu hệ thống quản trị bị xâm nhập, rủi ro gián đoạn dịch vụ và lộ dữ liệu sẽ tăng.
Virtualizor cho biết một cuộc BGP hijack đã chuyển hướng lưu lượng cập nhật của Softaculous, khiến một số hệ thống nhận gói Virtualizor độc hại trong khoảng 28/08/2026 đến 30/08/2026. Gói này sửa đổi các tệp lõi để tạo quyền root do kẻ tấn công kiểm soát, cài payload Java, thiết lập persistence qua systemd service và thêm một tài khoản trái phép.
Theo nhà cung cấp, chưa có danh sách hệ thống bị ảnh hưởng hay phạm vi phiên bản cụ thể, vì vậy quản trị viên cần kiểm tra toàn bộ máy chủ. Virtualizor đã phát hành Patch 9 và Security Analyzer, nhưng việc ký số gói vẫn chưa hoàn tất.
Khuyến nghị kỹ thuật gồm: chạy scanner chính thức, kiểm tra các dấu hiệu như /etc/systemd/system/java-jre-update.service, /usr/lib/jvm/.cache/jre-runtime.dat, /tmp/widdow.jar và các tệp lõi bị sửa đổi; xoay vòng và thu hẹp phạm vi API keys; rà soát SSH keys, tài khoản mới, cron jobs và kết nối ra ngoài bất thường. Nếu phát hiện dấu hiệu xâm nhập, cần bảo toàn bằng chứng trước khi xử lý và liên hệ hỗ trợ để điều tra tiếp.