LONDON (IT BOLTWISE) – Angreifer haben laut Virtualizor über einen BGP-Hijack Softaculous-Update-Traffic umgeleitet und damit auf betroffenen Installationen ein manipuliertes Virtualizor-Paket ausgeliefert. In fünf von 34 geprüften Hypervisor-Nodes meldet ein Hosting-Provider Root-Level-Kompromittierung. Der Zeitraum der Manipulation lag etwa zwischen 28. August 20:57 UTC und 30. August 06:10 UTC. Virtualizor rät zu Scanner-Checks, API-Schlüsselrotation und zur Suche nach Persistence über systemd.
Was auf den ersten Blick nach einem klassischen Supply-Chain-Vorfall aussieht, zeigt in der technischen Detailtiefe einen Mechanismus, der im Netzwerk verwurzelt ist: Virtualizor beschreibt, dass Angreifer einen Border Gateway Protocol (BGP) Hijack nutzten, um den Traffic für Softaculous-Updates umzuleiten. Die Idee dahinter ist brutal pragmatisch. Sobald der Update-Verkehr über eine vom Angreifer betriebene Gegenstelle läuft, genügt eine manipulierte Paket-Zustellung, um die nachgelagerte Software-Update-Logik auszunutzen. Virtualizor setzt dabei einen klaren zeitlichen Rahmen: Das Fenster begann etwa am 28. August um 20:57 UTC und endete am 30. August um 06:10 UTC.
Entscheidend ist dabei, warum die Umleitung überhaupt als Update-Kanal funktionieren konnte. Laut Beschreibung wurde die Softaculous-Verbindung über den attacker-operated Server geleitet, während der Angreifer während dieses Zeitfensters ein gültiges Let’s-Encrypt-Zertifikat erhielt. Dadurch wirkten TLS-gesicherte Verbindungen für betroffene Clients vertrauenswürdig, weil keine Zertifikatswarnung auftauchte. Noch gravierender: Der Update-Client habe keine kryptografische Verifikation des Paketinhalts durchgeführt. Das bedeutet, dass die Empfänger ein modifiziertes Virtualizor-Paket akzeptieren konnten, ohne dessen Signatur- oder Hash-Integrität aktiv zu prüfen.
Für Virtualizor-Operatoren wird der Schaden nicht nur als theoretische Möglichkeit, sondern als nachprüfbares kompromittierendes Muster greifbar. Virtualizor meldet selbst, dass kein vollständiger betroffener Versionsbereich und keine definitive Liste der Installationen vorliege, die das manipulierte Paket erhalten haben. Dennoch existieren konkrete Indikatoren, die über den offiziellen Scanner abgeprüft werden. Besonders auffällig ist die Persistence-Route über systemd: Der kompromittierende Payload installierte bzw. aktivierte einen systemd-Dienst unter dem Pfad /etc/systemd/system/java-jre-update.service. Zusätzlich nennt Virtualizor unter anderem ein Cache-artiges Java-Runtimelaufzeitartefakt unter /usr/lib/jvm/.cache/jre-runtime.dat sowie Markerdateien wie /usr/lib/jvm/.cache/.installed und /tmp/widdow.jar.
Wie tief der Root-Zugriff in der Praxis ging, unterstreicht ein separater Bericht aus der Infrastruktur-Ecke: Ein Hosting-Provider-Account, der in der Community als Member und Patron Provider geführt wird, schrieb, dass bei drei legitimen Virtualizor-Dateien bösartige Kommandos injiziert worden seien. Der Account bestätigte außerdem, dass fünf von 34 Virtualizor-Hypervisor-Nodes die gleichen Modifikationen enthielten, wie sie im Thread beschrieben wurden. Laut dessen Darstellung fügte der Code einen angreifersteuerbaren Schlüssel zum Root-Konto hinzu, ließ zudem ein Java 17 nachinstallieren, sofern das Runtime-Setup fehlte, und führte das Payload anschließend als root aus. Die Persistenz erfolgte über einen systemd-Service, zusätzlich wurde ein unautorisierter Benutzer namens proxyuser angelegt; in den Logs tauchte ein erfolgreicher password-basierter SSH-Login auf diesen Account von 193.32.127[.]248 auf.
Die Relevanz für den Betrieb ergibt sich auch daraus, wie sich die Kompromittierung in Daten- und Zugriffsspuren übersetzen kann. Virtualizor nennt als mögliche Folge, dass je nach Zeitpunkt der Anmeldung bzw. Eingabe von Zahlungsdaten Client-Sessions sowie Payment-Entry-Traffic während des Umleitungsfensters den attacker-operated Server erreicht haben könnten. Bis zum 2. September habe der Vendor jedoch keine bestätigten Angaben zu Client-Account- oder Zahlungsdatendiebstahl gemacht. Für API-Integratoren lautet die Erwartung daher: Nicht nur Benutzerpasswörter sind betroffen, sondern auch Maschinen-zu-Maschinen-Zugänge, insbesondere weil der Angreifer über API-Schlüssel oder ergänzende Zugriffspfade persistent bleiben könnte.
Als Reaktion liegt der Schwerpunkt auf schneller Eindämmung und forensisch sauberer Beweissicherung, bevor man zu viel „wegremediert“. Virtualizor empfiehlt, vor einer bereinigenden Aktion erst auf dem System nach dem Dienst /etc/systemd/system/java-jre-update.service zu suchen: Falls der Dienst existiert, soll man die Evidenz sichern und den Support kontaktieren. Danach steht die operative Standardhygiene an: Alle Virtualizor-API-Keys rotieren, API-Zugriff auf vertrauenswürdige IPs beschränken und unbekannte Keys entfernen. Parallel soll man nach unbekannten SSH-Keys, neu angelegten Nutzern, geplanten Tasks oder Cronjobs sowie unerwarteten Outbound-Verbindungen suchen und SSH ebenfalls nur von bestätigten Quellen zulassen. Der offizielle Scanner prüft und enthält bekannte Artefakte, unter anderem anhand seiner eigenen bekannten IoCs wie den Payload-Pfaden, Markerdateien sowie C2-Domains; bei einem positiven Host soll man laut Anleitung den Support hinzuziehen, bevor man mit der Remediation startet.
Technisch interessant ist außerdem, wie die „Patch 9“-Story den strukturellen Schwachpunkt beleuchtet: Virtualizor stellte am 1. September „Patch 9“ mit einem Security Analyzer bereit, führt aber aus, dass kryptografisches Signieren der Pakete weiterhin eine künftige Baustelle war. Auch hier zeigt sich der typische Nachholbedarf nach Vorfällen: Der Scanner kann bekannte Indikatoren einschließen, ersetzt aber nicht konsequenten Schutz auf Paketebene, der Manipulationen frühzeitig am Client abweist. Das erklärt, warum die konkrete Anleitung neben dem Scanner stark auf Integritäts- und Zugriffsmanagement setzt: Bereinigungen wie die Wiederherstellung veränderter Kern-Dateien sollen aus bekannten „Known-Good“-Inhalten oder über eine Neuinstallation erfolgen, während Hosts mit bestätigtem Root-Compromise langfristig am ehesten durch einen sauberen Rebuild wieder in einen belastbaren Vertrauenszustand versetzt werden.
Für die Praxis bedeutet das: Wer Virtualizor oder mit Softaculous gekoppelte Komponenten betreibt, sollte den Vorfall als Anstoß verstehen, Updatepfade nicht nur „applikativ“, sondern auch „netzwerkseitig“ zu bewerten. Gerade BGP-Umleitungen zeigen, dass selbst korrekt wirkendes TLS und ein gültiges Zertifikat die Integrität der verteilten Inhalte nicht garantieren. Gleichzeitig wird klar, warum Schlüsselrotation und Zugriffseinschränkung heute zum Standardwerkzeug der Incident-Response gehören: Sie adressieren die zweite Angriffsebene, sobald ein Root-Compromise bereits besteht. Am Ende bleibt der direkte Handlungsdruck: Betreiber sollten jeden Server prüfen, API- und SSH-Zugänge wie in der Anleitung beschrieben neu aufsetzen und die Systeme auf Persistence-Spuren über systemd, Dateimarker und bekannte Artefakte abgleichen.
Als zusätzlicher Nebenaspekt rührt die Tür zu weiteren Softaculous-Komponenten auf: Virtualizor nennt ausdrücklich auch die Notwendigkeit, Webuzo, Softaculous, Backuply, SitePad und andere Produktserver zu prüfen, die während des Zeitfensters einen Update-Check ausgeführt haben. Allerdings habe der Vendor dort noch keinen spezifischen bösartigen Paket-Nachweis für diese Produkte benennen können; die Untersuchung sei offen. Bis eindeutige paketbezogene Hashes oder Dateinamen verfügbar sind, bleibt es damit nicht bei einem einzigen Produkt, sondern bei einer zeitfenstergetriebenen Prüfung der gesamten Update-Kette, die in der Softaculous-Umgebung angestoßen wurde.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BGP-Hijack manipuliert Virtualizor-Updates und schafft Root-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BGP-Hijack manipuliert Virtualizor-Updates und schafft Root-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BGP-Hijack manipuliert Virtualizor-Updates und schafft Root-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!