Softaculousのインフラを狙ったBGPハイジャング事件により、Virtualizorのアップデートサービス宛のトラフィックが攻撃者が制御するシステムにリダイレクトされ、悪意あるアップデートパッケージが少数のサーバーに配信される結果となりました。
この事件はHetznerのインフラ内でホストされているIP範囲162.55.80.0/24に影響を及ぼし、発生期間は2026年8月28日20:57 UTC頃から8月30日06:10 UTC頃までに及びました。
Softaculousは、ルーティングはすでに世界的に復旧したと発表しています。ただし同社は、影響を受けたすべての導入環境を確実に特定することはできないとして、Virtualizorの運用者全員に対し自身のシステムを徹底的に調査するよう注意喚起しています。
BGPハイジャング攻撃の概要
今回の攻撃は、トランジットプロバイダーであるAS6204(Zet.net)を経由した、NexonHostと識別されるAS62390による不正なBGP(Border Gateway Protocol)アナウンスによるものでした。この悪意あるアナウンスは、Hetznerの正規ルートである162.55.0.0/16よりも詳細な、162.55.80.0/24というプレフィックスを広告するものでした。
標準的なBGPのルート選択の挙動では、ネットワークはより詳細なプレフィックスを優先する傾向があります。その結果、影響を受けたSoftaculousのサービス宛のトラフィックは、この不正なアナウンスが伝播した範囲において、攻撃者のインフラへとルーティングされてしまいました。
ハイジャックされたルートは、ASパスの末尾にHetznerの自律システム番号であるAS24940を保持したままでした。これにより、ルーティングデータ上ではHetznerが依然として発信元ネットワークであるかのように見え、オリジンASの変化のみを監視する自動監視システムに対して、この不正なルートが目立ちにくくなっていた可能性があります。
攻撃者はさらに、virtualizor.com、api.virtualizor.com、files.virtualizor.comを含むSoftaculous関連ドメインについて、Let’s Encryptから技術的に有効なTLS証明書を取得していました。
インシデントレポートによると、自動化された証明書検証トラフィック自体がこのBGPハイジャングを通じて迂回させられており、これにより攻撃者はドメイン所有権の検証(ドメインコントロール検証)を通過することができました。その結果、影響を受けたクライアントは一見正規に見えるHTTPS接続を確立し、証明書に関する警告は一切表示されませんでした。
これにより、攻撃者が制御するサーバーは正規のアップデートエンドポイントになりすますことが可能になりました。Softaculousは、迂回が発生していた時間帯にアップデートチェックを実行した少数のシステムに対し、悪意あるVirtualizorのアップデートパッケージが配信されたことを確認しています。
同社によれば、他の自社製品に影響を及ぼす悪意あるパッケージは現時点で確認されていないものの、調査は現在も継続中とのことです。
RIPEのRouting Information Serviceが公開しているルーティングデータからは、2度の大きな傍受の波が確認されています。1回目は8月28日21:00 UTC頃から8月29日08:50 UTC頃まで続きました。その後Hetznerが影響を受けた/24プレフィックスの直接アナウンスを開始したことで、迂回はほぼゼロにまで一時的に減少しました。
2回目の波は8月29日20:00 UTC頃に始まり、不正なルートが取り下げられる8月30日06:00 UTC頃まで続きました。
Softaculousの分析によると、RIPE RISの全368のコレクターピアが、ある時点でこのハイジャックされたルートを観測していました。活動が活発だった期間中、平均266のピアがこの悪意あるパスに従っており、これは全ピアの約72%に相当します。このルートは非常に不安定で、33時間に及んだ今回のインシデント期間中に約10,600回の取り下げが記録されています。
今回の事件は、BGPハイジャングがHTTPSや、一見署名されているように見えるソフトウェア配信インフラが本来提供するはずの信頼をいかに揺るがし得るかを示しています。TLS証明書自体が有効であっても、ネットワークレベルでのルート操作によって、アップデートリクエストが攻撃者の制御するサーバーへとリダイレクトされ得るのです。
Virtualizorの管理者は、影響を受けた期間中のアップデート活動、パッケージの整合性、ログ、およびシステム変更を確認する必要があります。また各組織は、8月28日から8月30日の間、特に不正ルーティングが活発だった2つの期間中に、自社のサーバーがVirtualizorのアップデートエンドポイントにアクセスしていたかどうかを評価すべきです。
悪意ある応答は攻撃者のインフラから直接配信されたため、Softaculous自身のログには一切記録が残っておらず、影響を受けたサーバーの全容は依然として不明確なままです。
調査の遅れによるインシデントを防ぐために。15,000のSOCによる脅威インテリジェンスでTier 1を強化しましょう: TI LookupをあなたのSOCに統合する
翻訳元: https://gbhackers.com/bgp-hijacking-attack-delivers-malicious-virtualizor-updates/
