Security
ホスティングソフトウェアベンダーが顧客に認証情報のリセットと悪意あるパッケージの調査を呼びかけ
人気記事
SoftaculousとVirtualizorの顧客に対し、認証情報のリセットとサーバーの点検を行うよう呼びかけが行われています。33時間にわたるBGPハイジャック事件によってトラフィックが迂回され、一部のインストール環境にマルウェアが配布されたためです。
Softaculousはウェブホスティング業界向けのソフトウェアを手がけるベンダーで、同社のVirtualizorコントロールパネルはプロバイダーや管理者が仮想プライベートサーバーを展開・管理する際に利用されています。
8月28日の20:57 UTC頃、無関係な別のネットワークがSoftaculousの使用するHetznerのIPアドレスブロックをアナウンスし始め、本来であればベンダーのシステムへ向かうはずだったトラフィックの一部が、攻撃者の制御するサーバーへと迂回されました。ドイツのホスティングプロバイダーであるHetznerは、Softaculousの上流インフラプロバイダーの一つです。
影響を受けたアドレスは「多数のSoftaculousシステム」に使用されており、Virtualizorのソフトウェア更新エンドポイントや、Softaculousのクライアント/請求サイトも含まれていました。
攻撃者は、Hetznerが通常アナウンスしているものよりも詳細な(より狭い範囲を示す)IPアドレスレンジをアナウンスすることで、このBGPハイジャックを成し遂げました。標準的なBGPの経路選択の仕組みでは、この経路がより詳細なものとして受け入れられた場所ではどこでも優先されることになります。
Softaculousによると、認証局による自動ドメイン所有権検証までもがこのハイジャックを経由してしまったため、攻撃者はLet’s Encryptから正規のTLS証明書を取得することにも成功していました。
これにより、影響を受けた接続は証明書に関する警告が表示されることなく攻撃者のサーバーに到達できてしまい、本来であればユーザーに危険を知らせるはずの仕組みが機能しませんでした。
ベンダーの公表したタイムラインによると、この不正な経路は繰り返し不安定になりながらも(常時利用可能だったわけではないものの)、当初は「これを受信するインターネット上のほぼすべての観測地点で受け入れられていた」とのことです。
Softaculousは、8月29日08:50 UTC頃にこの問題をHetznerに報告したと述べています。同ホスティングプロバイダーは同じ、より詳細なアドレスレンジを直接アナウンスし始め、観測されたトラフィックの迂回はおよそ11時間にわたりほぼゼロまで減少しました。
不正なアナウンスは20:00 UTC頃に再び現れ、再度広く受け入れられて、約10時間続く第2波が始まりました。この経路は8月30日の05:50から06:10 UTCの間に取り下げられ、その後は世界的に正常な経路が回復しました。
いずれの波が発生している間も、あるサーバーが攻撃者経由でこの影響を受けたアドレスレンジにルーティングされるネットワーク上に存在する確率は、およそ72パーセントだったとSoftaculousは推定しています。この数字は傍受されたトラフィックの量ではなく、ハイジャックされた経路を保持していたRIPEルーティングコレクターのピアの割合に基づくものだと、同ベンダーは述べています。
この事件が発生していた期間中にSoftaculousのクライアントエリアにログインしたユーザーは、そのパスワードを直ちにリセットするとともに、同じパスワードを使い回している他の場所についても変更するよう推奨されています。
同じ期間中にカード情報を入力した顧客も、利用明細を確認することが推奨されます。Softaculousは自社サーバー上ではカード情報を処理しておらず決済ゲートウェイを利用していると説明していますが、影響を受けたセッションが決済ゲートウェイに到達する前に迂回されていた可能性があります。
さらに深刻なことに、同ベンダーは、更新チェックが攻撃者のサーバーを経由してしまった一部のインストール環境に対し、悪意あるVirtualizorの更新パッケージが配布されたことを認めています。
「当社の製品更新クライアントは、当時まだ更新パッケージの暗号学的な検証を行っていなかったため、改ざんされたパッケージであってもその点を理由に拒否されることはありませんでした」
これらのダウンロードは自社のログには一切記録されなかったため、Softaculousは「確定的な影響範囲のリストを作成することはできない」としています。そのため同社は、すべてのVirtualizor運用者に対し、自身のサーバーが(必ずしも侵害されたとは限らないものの)点検の対象に含まれるものとして扱うよう呼びかけています。
Softaculousはマルウェアの機能については説明していませんが、侵害の痕跡(IoC)として/etc/systemd/system/java-jre-update.serviceにあるsystemdユニットを挙げています。これを発見した運用者に対しては、直ちに削除するのではなく、証拠を保全できるようベンダーに連絡するよう推奨しています。
Softaculousは、Backuply、Softaculous、SitePad、Webuzoなど他の製品を標的とした悪意あるパッケージについては現時点で確認していないとしていますが、調査は継続中です。
Virtualizor運用者は、APIの認証情報をローテーション・制限するとともに、不審なSSHキーやアカウントの有無を確認し、スケジュールされたタスクや外部への通信を点検し、クライアントエリアのAPIキーを再生成することが推奨されます。Softaculousは、事件発生期間中に作成されたクライアントエリアのセッションについても無効化する対応を進めています。
Softaculousは、悪意ある更新をダウンロードした顧客の数や、攻撃者に認証情報を渡してしまった可能性のある顧客の数については明らかにしていません。同社は、確認された感染について「Virtualizorの一般ユーザー全体ではなく、一握りのサーバーにとどまる」とのみ説明しています。®
