// TOM'S HARDWARE ITALIA — CYBERSECURITY
Dirottano Softaculous e trasformano gli aggiornamenti in malware
Un gruppo di aggressori non identificato ha preso il controllo di indirizzi IP assegnati a Softaculous, sfruttando carenze nella sicurezza del routing del provider Hetzner Online. Gli indirizzi ospitavano il sistema di aggiornamento e il portale clienti dell'azienda: il dirottamento ha quindi permesso di distribuire malware camuffato da aggiornamento ai server gestiti tramite Virtualizor.
L'operazione si è sviluppata in due fasi intermittenti nell'arco di 33 ore. Hetzner ha ripristinato la rotta corretta circa 12 ore dopo il primo dirottamento, ma ha successivamente smesso di annunciarla, consentendo agli aggressori di ripetere l'attacco. Nel secondo caso sono servite quasi 10 ore per intervenire, mentre Softaculous, Hetzner e il peer di transito Zet.net non hanno rilevato l'anomalia per circa 22 ore complessive.
Il bersaglio era il prefisso 162.55.80.0/24, un blocco contenente 256 indirizzi e più specifico della normale rete 162.55.0.0/16 annunciata da Hetzner. Nel funzionamento del BGP, una rotta più specifica viene generalmente preferita: l'annuncio fraudolento ha così deviato parte del traffico attraverso AS6204 di Zet.net e AS62390 di Nexon Host, prima di indicare AS24940 come origine apparente.
La rotta malevola non è stata bloccata nemmeno dai sistemi RPKI ROV. Il percorso includeva infatti AS24940 come origine contraffatta, mentre la relativa Route Origin Authorization autorizzava prefissi con lunghezza compresa tra /16 e /24. L'annuncio rispettava quindi formalmente entrambi i parametri e risultava valido ai sistemi incaricati di scartare le rotte non autorizzate.
Alla compromissione del routing si sono aggiunte debolezze nel processo di emissione dei certificati TLS e, soprattutto, l'assenza del code signing negli aggiornamenti. I client di Virtualizor non verificavano crittograficamente i pacchetti ricevuti e non potevano quindi respingere automaticamente un file modificato. Una dinamica di distribuzione già osservata, con tecniche differenti, nella campagna che ha sfruttato quasi 2.000 siti WordPress per diffondere malware.
Softaculous ritiene che soltanto un numero limitato di server sia stato effettivamente compromesso, ma non dispone di un elenco definitivo. L'azienda invita pertanto gli amministratori a considerare ogni installazione potenzialmente coinvolta e a verificare gli indicatori forniti per l'incidente. Il rischio riguarda in particolare i sistemi che hanno cercato aggiornamenti malevoli mentre il traffico era instradato verso l'infrastruttura degli aggressori.
L'incidente espone una concatenazione di controlli insufficienti: configurazione permissiva delle autorizzazioni di rotta, monitoraggio tardivo, certificati ottenibili durante il dirottamento e pacchetti non firmati. RPKI resta una difesa fondamentale, ma non può fermare un annuncio costruito per apparire conforme. La protezione degli aggiornamenti richiede quindi una sicurezza a più livelli, capace di verificare sia il percorso di rete sia l'autenticità del software ricevuto.
Aggiungi Tom's Hardware alle tue fonti preferite su Google