Специалисты компании Softaculous, стоящей за разработкой панели управления Virtualizor, которую хостинг-провайдеры используют для создания и администрирования виртуальных серверов, предупредили об атаке на цепочку поставок. Хакеры осуществили BGP-атаку и перехватили маршрутизацию для части инфраструктуры Softaculous, после чего распространили вредоносное обновление. Один из пострадавших хостинг-провайдеров уже подтвердил компрометацию пяти из 34 проверенных гипервизоров.
По данным Softaculous, атака длилась с 20:57 UTC 28 августа до 06:10 UTC 30 августа 2026 года. В это время неизвестные злоумышленники провели успешную BGP-атаку и перенаправили трафик, предназначенный для систем обновления Softaculous, а также клиентского и платежного портала, в свою инфраструктуру.
В компании объясняют, что хакеры анонсировали чужой диапазон 162.55.80.0/24 как собственный, и в результате часть интернет-провайдеров стала отправлять предназначенный Softaculous трафик на сервер злоумышленников. По информации Ars Technica, атаке поспособствовала неудачная конфигурация RPKI в Hetzner, которая позволяла считать допустимыми более узкие подсети внутри IP-диапазона компании. Когда хакеры объявили такой маршрут для диапазона /24, маршрутизаторы начали отдавать ему предпочтение как более точному.
При этом атакующие получили действительный TLS-сертификат Let's Encrypt, из-за чего во время соединения с их сервером не появлялось предупреждений о проблемах с сертификатом.
Дополнительно ситуацию усугубило и то, что механизм обновлений Virtualizor не проверял криптографическую подпись пакетов, из-за чего фальшивое обновление устанавливалось как легитимное.
В Softaculous полагают, что вредоносное обновление успели получить лишь несколько серверов. Однако составить точный список пострадавших невозможно, так как запросы уходили непосредственно к атакующим и не попадали в логи самой компании.
Представители хостинг-провайдера AlbaHost сообщили, что обнаружили следы компрометации на пяти из 34 проверенных гипервизоров Virtualizor. По их словам, вредоносный код внедрялся в три штатных файла, после чего запускался через cron с правами root. Затем малварь добавляла в учетную запись root SSH-ключ, контролируемый атакующими, при необходимости устанавливала Java 17, загружала дополнительный пейлоад и закреплялась в системе через systemd. Также специалисты пишут, что на зараженных серверах создавалась учетная запись proxyuser.
Всем администраторам Virtualizor рекомендуется проверить наличие файла /etc/systemd/system/java-jre-update.service, а также сменить API-ключи, проверить неизвестные SSH-ключи и аккаунты, cron-задачи и подозрительные исходящие соединения.
Кроме того, пользователям, которые во время атаки входили на клиентский портал или вводили платежные данные, советуют сменить пароли, проверить историю операций и выписки по картам.
В начале текущей недели разработчики выпустили Virtualizor 3.2.9.9 со встроенным инструментом Security Analyzer, предназначенным для поиска следов компрометации. Также в Softaculous сообщили, что планируют внедрить криптографическую подпись всех пакетов и перенести сервисы в более защищенную инфраструктуру.
Подчеркивается, что признаков распространения вредоносных обновлений для других продуктов Softaculous не обнаружено, но расследование инцидента еще не завершено.