Hackers atacan infraestructura de actualización de Virtualizor
Un grupo de hackers logró entregar actualizaciones maliciosas del software de gestión de VPS Virtualizor tras secuestrar el enrutamiento BGP de su infraestructura de actualización y redirigir las solicitudes hacia servidores controlados por ellos. Virtualizor es un panel de control web de Softaculous utilizado por proveedores de hosting para crear, vender y gestionar servidores privados virtuales (VPS).
Según un aviso urgente del proveedor, entre las 20:57 UTC del 28 de agosto y las 06:10 UTC del 30 de agosto, un atacante reenrutó un bloque de direcciones IP alojadas en Hetzner en un ataque de secuestro BGP (Border Gateway Protocol). Esto permitió desviar el tráfico de los sistemas de actualización de software de Softaculous y del portal de clientes y facturación.
El secuestro de BGP ocurre cuando un operador de red anuncia falsamente una ruta hacia direcciones IP que pertenecen a otra organización. Otras organizaciones pueden aceptar esa ruta fraudulenta como la preferida, permitiendo que el atacante reciba el tráfico y lo modifique o redirija a destinos maliciosos.
Softaculous confirmó que el secuestro BGP permitió a los hackers entregar una actualización maliciosa de Virtualizor a un pequeño número de instalaciones que comprobaron actualizaciones durante el desvío. 'Esto afectó a un puñado de servidores en lugar de a la base general de usuarios de Virtualizor', señaló el proveedor. Debido a que las solicitudes fueron redirigidas al atacante, no se dispone de registros de la actividad.
La compañía recomienda a los operadores de Virtualizor verificar la existencia del servicio /etc/systemd/system/java-jre-update.service. Si se encuentra, deben rotar y restringir las credenciales API, auditar los sistemas en busca de claves SSH no autorizadas, cuentas, tareas programadas y conexiones salientes. Además, los usuarios que accedieron al área de clientes o introdujeron información de pago durante la ventana del incidente deben restablecer contraseñas, revisar la actividad de sus cuentas y monitorizar los extractos de tarjetas.
La investigación de Softaculous sigue en curso, pero no hay indicios de que otros productos se hayan visto afectados. Se ha restaurado el enrutamiento, se informó del certificado fraudulento para su revocación y se publicó una nueva versión de Virtualizor (3.2.9.9) el 1 de septiembre con una herramienta de 'Analizador de seguridad' en el panel de administración. La empresa planea implementar firma criptográfica para todos los paquetes de software en el futuro y migrar a una infraestructura más robusta.
Hemos confirmado que un paquete de actualización malicioso de Virtualizor fue entregado a un pequeño número de instalaciones que comprobaron actualizaciones mientras su tráfico estaba siendo desviado. Esto afectó a un puñado de servidores en lugar de a la base general de usuarios de Virtualizor.
Otros incidentes de cadena de suministro recientes
Este ataque se suma a una serie de incidentes de cadena de suministro en el ecosistema de software, como el envenenamiento del crate de Rust 'arrayref' para distribuir malware infostealer, el compromiso de los plugins de BdThemes que creó administradores falsos de WordPress, la masiva cadena de suministro de npm 'ChainDrop' que infectó cientos de paquetes, y el compromiso del script de Adform para robar criptomonedas.
Deja una respuesta