ハッカーらは、Virtualizor VPS管理ソフトウェアのアップデートインフラに対してBGPルーティングをハイジャックし、アップデート要求を悪意あるサーバーへリダイレクトすることで、不正なアップデートを配信しました。
Virtualizorは、ホスティングプロバイダーが仮想プライベートサーバー(VPS)を作成・販売・管理するために使用する、Softaculous社の旧来型Webコントロールパネルです。
ベンダーが発した緊急通知によると、8月28日20時57分(UTC)から8月30日06時10分(UTC)の間に、攻撃者がHetznerがホストするIPアドレスブロックをBGP(Border Gateway Protocol)ハイジャック攻撃によって再ルーティングしたとのことです。
これにより脅威アクターは、Softaculousのソフトウェアアップデートシステムおよびクライアント/請求ポータルからのトラフィックを迂回させることが可能になりました。
BGPハイジャックは、あるネットワーク事業者が別の組織に属するIPアドレスへの経路を虚偽に告知することで発生します。他の組織がこの不正な経路を優先経路として受け入れてしまう場合があります。
このような形でトラフィックを受け取った攻撃者は、それを改変したり、悪意ある宛先へリダイレクトしたりすることができます。
Softaculousによると、このBGPハイジャックによってハッカーは少数のインストール環境に悪意あるVirtualizorアップデートを配信することができたとのことです。
「トラフィックが迂回させられている間にアップデートを確認した、ごく一部のインストール環境に悪意あるVirtualizorアップデートパッケージが配信されたことを確認しています」と同ベンダーは述べています。
「これはVirtualizorの一般ユーザー全体ではなく、ごく一部のサーバーに影響を及ぼしたものです」
リクエストが攻撃者側へリダイレクトされていたため、同ソフトウェアベンダー側にはログが残っていません。Softaculousは、Virtualizorの運用者に対し、以下のサービスの有無を確認するよう推奨しています。
/etc/systemd/system/java-jre-update.service
これが見つかった場合、管理者はAPI認証情報をローテーション・制限し、不正なSSH鍵、アカウント、スケジュールタスク、外向き通信がないかシステムを監査する必要があります。
また、インシデント発生期間中にSoftaculousのクライアントエリアにアクセスした、あるいは支払い情報を入力したユーザーは、パスワードをリセットし、アカウントの活動履歴を確認し、カードの利用明細を監視することが推奨されています。
Softaculousによる本インシデントの調査は現在も継続中ですが、他の製品が影響を受けたことを示す兆候は今のところありません。
Softaculousによると、現在はルーティングが復旧しており、不正な証明書は失効申請済みで、管理パネルに「Security Analyzer(セキュリティアナライザー)」ツールを搭載した新バージョンのVirtualizorバージョン3.2.9.9が9月1日にリリースされたとのことです。
同社は今後、すべてのソフトウェアパッケージに対して暗号署名を導入し、より安全性の高いインフラへの移行も計画しているとしています。
