Der Angriff begann laut Softaculous gegen 20:57 UTC am 28. August, als AS62390 (NexonHost) einen Teil des Adressraums des deutschen Hosting- und Rechenzentrumsbetreibers Hetzner ankündigte – darunter IP-Adressen von Softaculous-Systemen. Die Ankündigung war spezifischer als Hetzners übliche Route für den umgebenden Block 162.55.0.0/16 und erhielt damit nach den Standardregeln der BGP-Routenauswahl in jedem Netz Vorrang, das sie akzeptierte. Auf dem AS-Pfad blieb AS24940 (Hetzner) als scheinbarer Ursprung stehen, was die Manipulation zusätzlich verschleierte.
Im nächsten Schritt beschaffte sich der Angreifer ein gültiges TLS-Zertifikat für Softaculous-Domains bei Let’s Encrypt. Möglich war das, weil die automatisierte Domain-Eigentumsprüfung der Zertifizierungsstelle ebenfalls über den gekaperten Pfad geleitet wurde. Mit diesem Zertifikat konnte der Verkehr auf den Server des Angreifers umgelenkt werden, ohne dass Browser oder Clients eine Zertifikatswarnung ausgaben.
Umgeleitet wurde der Verkehr über einen Zeitraum von 22 Stunden, allerdings nur zeitweise: In einem elfstündigen Fenster mitten im Vorfall fand nach Angaben des Unternehmens praktisch keine Umleitung statt. Der Vorfall erstreckte sich insgesamt über den Zeitraum vom 28. bis 30. August.
Entscheidend für den Erfolg war eine Schwäche im Update-Mechanismus selbst: “Unsere Produkt-Update-Clients haben Update-Pakete bislang nicht kryptografisch verifiziert, ein modifiziertes Paket wäre auf dieser Grundlage also nicht abgewiesen worden. Wir gehen davon aus, dass nur eine kleine Zahl von Servern tatsächlich betroffen ist, können aber keine definitive Liste erstellen – bitte behandeln Sie daher jeden Virtualizor-Server als prüfungsrelevant”, teilt das Unternehmen mit.
Für andere Produkte hat Softaculous bislang kein bösartiges Paket gefunden; diese Untersuchung läuft nach eigenen Angaben weiter. Der Verkehr sei inzwischen vollständig auf die legitimen Server zurückgeführt.
Softaculous hat einen bekannten Kompromittierungsindikator (IoC) veröffentlicht und empfiehlt Betroffenen, die Passwörter für den Kundenbereich zurückzusetzen, die Kontoaktivitäten zu prüfen und API-Schlüssel neu zu generieren. Zudem wurde Virtualizor in der Version 3.2.9.9 veröffentlicht, die ein Werkzeug zur Eindämmung bekannter Exploits enthält. Als längerfristige Maßnahme implementiert das Unternehmen ein Code-Signing-Verfahren für sämtliche Pakete.