Beobachtung
Das Unternehmen Softaculous teilt mit, dass seine Software-Lieferkette für das Produkt Virtualizor in der Zeit vom 28. bis 30. August Ziel eines Cyberangriffs war. Über die kompromittierte Software-Lieferkette wurde wiederum eine Schadsoftware im Zuge eines fingierten Softwareupdates ausgeliefert. Virtualizor ist eine webbasierte Software zur Verwaltung und Automatisierung von virtuellen privaten Servern (VPS), welche von Webhosting-Anbietern und Systemadministratoren genutzt wird.
Methodik
Dem Bericht des Unternehmens zufolge soll der Angriff mittels BGP Hijacking ausgeführt worden sein. Hierdurch leitete der Angreifer einen Teil des Internetverkehrs für den von Softaculous genutzten IP-Adressbereich auf eine von ihm kontrollierte IT-Infrastruktur um. Unter anderem gelang es dem Angreifer dadurch auch, valide TLS-Zertifikate durch Let’s Encrypt für mehrere Domains des Unternehmens ausstellen zu lassen. Da Virtualizor Updatepakete nicht kryptografisch verifizierte, konnte dann die Schadsoftware über die Software-Lieferkette verteilt werden. Das Unternehmen geht davon aus, dass das Update nur auf wenigen Servern tatsächlich ausgerollt wurde.
Attribution
Eine gesicherte Zuordnung des Angriffs zu einem Akteur ist nach derzeitigem Kenntnisstand nicht möglich. Ein nachrichtendienstlicher Hintergrund kann nicht ausgeschlossen werden.
Empfehlung
Wie Softaculous mitteilt, wurde der Angriff auf die Software-Lieferkette durch die Veröffentlichung neuer Routeninformationen seitens des Providers beendet. Das Unternehmen hat zudem bei Let’s Encrypt den Widerruf der im Rahmen des Angriffs ausgestellten Zertifikate angefordert.
Systeme, welche das Update bezogen haben, müssen weiterhin als kompromittiert angesehen werden. Virtualizor-Instanzen sollten daher auf Auffälligkeiten und Schadsoftware überprüft und gegebenenfalls bereinigt werden. Softaculous stellt einen Indicator of Compromise (IoC) zur Verfügung und rät als Vorsichtsmaßnahme zur Erneuerung der API-Keys. Außerdem sollten Kunden, welche sich während des Angriffs im Kundenbereich auf der Webseite eingeloggt haben, das Passwort für ihr Kundenkonto ändern und dieses auf ungewöhnlich Aktivitäten überprüfen.