Beim BGP-Hijacking kündigt ein Netzbetreiber wahrheitswidrig eine Route zu IP-Adressen an, die einer anderen Organisation gehören. Andere Netze können diese gefälschte Ankündigung als bevorzugte Route übernehmen – wer den Verkehr auf diesem Weg erhält, kann ihn verändern oder auf bösartige Ziele umleiten. Genau das geschah nach Darstellung von Softaculous mit einem bei Hetzner gehosteten Adressblock.
In dem knapp 33-stündigen Zeitfenster zwischen dem 28. August, 20:57 UTC, und dem 30. August, 06:10 UTC, liefen sowohl Anfragen an die Software-Update-Systeme als auch an das Kunden- und Abrechnungsportal des Anbieters über die Infrastruktur der Angreifer. Installationen, die in dieser Zeit einen Update-Check durchführten, erhielten ein präpariertes Virtualizor-Paket.
Da der Hersteller über keine Protokolle der umgeleiteten Anfragen verfügt, müssen Betreiber selbst prüfen, ob sie betroffen sind. Softaculous nennt als Indikator den Dienst /etc/systemd/system/java-jre-update.service. Wird dieser gefunden, sollen Administratoren API-Zugangsdaten wechseln und einschränken sowie ihre Systeme auf unbefugte SSH-Schlüssel, zusätzliche Konten, eingerichtete Aufgaben und ausgehende Verbindungen untersuchen.
Eine zweite Empfehlung richtet sich an Kunden, die im Zeitraum des Vorfalls den Softaculous-Kundenbereich genutzt oder dort Zahlungsdaten eingegeben haben: Sie sollen ihre Passwörter zurücksetzen, die Kontoaktivitäten durchsehen und ihre Kartenabrechnungen im Blick behalten.
Das Routing ist dem Unternehmen zufolge inzwischen wiederhergestellt, das im Zuge des Angriffs betrügerisch ausgestellte Zertifikat wurde zur Sperrung gemeldet. Am 1. September erschien Virtualizor in Version 3.2.9.9, die im Administrationsbereich ein Werkzeug namens „Security Analyzer" mitbringt.
Für die Zukunft kündigt Softaculous an, sämtliche Softwarepakete kryptografisch zu signieren und auf eine bessere Infrastruktur umzuziehen. Die Aufarbeitung des Vorfalls ist noch nicht abgeschlossen, bislang deutet aber nichts darauf hin, dass weitere Produkte des Anbieters betroffen sind.