攻撃者らは先週、Softaculousのインフラに対してBorder Gateway Protocol(BGP)ルーティングをハイジャックし、トラフィックを攻撃者の制御下にあるシステムへと迂回させ、少数のハイパーバイザーサーバーに悪意のあるVirtualizorアップデートを配信しました。
Virtualizorのインシデントレポートによると、このルーティング攻撃は2026年8月28日20:57 UTC頃から8月30日06:10 UTCまでの間続いていました。
攻撃者はNexonHostが運用するAS62390を使用し、Softaculousのアップデート・課金インフラで使われているHetzner所有のサブネット162.55.80.0/24を、AS6204(Zet)経由でアナウンスしました。
Hetznerは通常、より広い範囲を含む162.55.0.0/16プレフィックスをアドバタイズしていました。しかし、不正な162.55.80.0/24ルートはより詳細な(specific)経路だったため、このアナウンスが伝播・受理されたネットワークではどこでもBGPの経路選択で優先されることになりました。
ハイジャック実行者は、自らを発信元ネットワークとして直接表示させるのではなく、アドバタイズされた経路パスの末尾にHetznerの自律システム番号であるAS24940を残していました。
この手法により、悪意のある経路は一見しては不審に見えにくくなる一方で、影響を受けた通信は攻撃者の制御下にあるインフラを経由するよう迂回させられていました。
さらにこの迂回によって、攻撃者はvirtualizor.com、api.virtualizor.com、files.virtualizor.comに対する正規のLet’s Encrypt証明書を取得することにも成功しました。
インシデントの発生中、証明書の検証トラフィックも迂回させられていたため、脅威アクターはドメイン検証チェックを完了させることができました。その結果、影響を受けたクライアントは一見正規に見えるHTTPSセッションで接続することになり、ブラウザやTLS証明書の警告は一切表示されませんでした。
RIPE Routing Information Serviceのデータによると、368のコレクターピアすべてが、このキャンペーンの期間中のいずれかの時点で不正な経路を観測していました。ハイジャックが活発だった期間中は、これらのピアの約72%がAS62390経由の経路を最適経路として選択していました。
このインシデントでは、8月29日にHetznerが影響を受けた/24を直接アナウンスしたことをきっかけに約11時間の小康状態が生じ、それを挟む形で2回の大規模なフラッピング(経路の不安定な変動)の波が発生しました。
Virtualizorは、KVM、Xen、LXC、OpenVZ、Proxmoxといった環境にまたがるVPSインフラを管理するために、ホスティングプロバイダーで広く利用されています。
Virtualizorのマスターは数百台の仮想化サーバーを管理できるため、そのアップデート機構が侵害されることは、ホスティングインフラの中でも極めて重要な層に対するリスクとなります。
Virtualizorによると、同社のアップデートクライアントはダウンロードしたパッケージを暗号学的に検証していませんでした。そのため、アップデートトラフィックを迂回させ正規のTLS証明書を提示できる脅威アクターであれば、改ざんされたパッケージを配信し、ハイパーバイザー上でroot権限を持って実行させることが可能でした。
悪意のあるアップデートをダウンロードしたインストール環境はごく限られた数にとどまるとみられています。この攻撃では約10,600件のルート撤回(withdrawal)が発生しており、迂回は断続的なものにとどまり、攻撃者が制御するサーバーに到達したアップデートチェックの成功件数も抑えられていました。
とはいえ、ハイパーバイザーのroot権限レベルでの侵害は、そのノード上で稼働するすべての仮想マシンを危険にさらす可能性があり、個々のホスティング管理パネルが侵害されるケースよりも実質的にはるかに深刻なインシデントとなります。
既知の痕跡(indicator)は/etc/systemd/system/java-jre-update.serviceです。このファイルや関連する有効化されたサービスを発見した管理者は、削除する前にVirtualizorに連絡し、調査のための証拠を保全するようにしてください。
同社は、APIキーのローテーション、SSHおよびAPIアクセスを信頼できるIPアドレスに制限すること、そして未知のアカウント・SSHキー・スケジュールされたジョブ・不審な永続化(persistence)の仕組みがないかシステムを確認することを推奨しています。
ハイジャックが行われていた期間中にSoftaculousのクライアントエリアにアクセスしたユーザーは、パスワードのリセットとAPIキーの再生成を行う必要があります。ルーティングは既に復旧しており、Virtualizorは8月30日06:10 UTC以降、追加の迂回は確認されていないと報告しています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/bgp-hijack-diverts-softaculous-traffic/
