Introducción
Recientemente, Virtualizor alertó sobre un secuestro de BGP que desvió el tráfico de actualizaciones de Softaculous, lo que permitió que un paquete malicioso fuera enviado a algunas instalaciones de Virtualizor. Este incidente ha resultado en un compromiso de nivel root en varios hipervisores.
Detalles del ataque
Según Virtualizor, el ataque tuvo lugar entre el 28 y el 30 de agosto de 2026. Durante este periodo, se desvió el tráfico hacia un servidor controlado por los atacantes, quienes lograron obtener un certificado válido de Let's Encrypt, lo que permitió que las conexiones no mostraran advertencias de seguridad. Esto facilitó que las instalaciones de Virtualizor que buscaban actualizaciones durante ese tiempo recibieran un paquete modificado, ya que el cliente de actualización no validaba la firma criptográfica del paquete.
Un proveedor de alojamiento, que operaba varios hipervisores, confirmó que cinco de sus 34 nodos de Virtualizor se vieron comprometidos. Los atacantes inyectaron comandos maliciosos en tres archivos legítimos de Virtualizor, lo que permitió que un cron job de root ejecutara el código modificado.
Consecuencias del ataque
El código inyectado añadió una clave controlada por los atacantes al cuenta root, instaló Java 17 si no estaba presente y descargó un payload que se ejecutó con privilegios de root. Este payload estableció persistencia a través de un servicio de systemd y creó una cuenta no autorizada llamada proxyuser. Se registraron inicios de sesión exitosos a esta cuenta desde una dirección IP sospechosa, lo que aumenta la gravedad del incidente.
Hasta la fecha, Virtualizor no ha confirmado el robo de datos de cuentas de clientes o detalles de pago, aunque advierte que los usuarios que ingresaron información durante el periodo del ataque deben tomar precauciones.
Recomendaciones para operadores
Virtualizor ha emitido varias recomendaciones para mitigar el impacto del ataque: 1. Verificar servidores: Todos los operadores deben comprobar sus servidores, ya que no hay un rango de versiones afectadas definido. 2. Rotar claves API: Es fundamental rotar todas las claves API de Virtualizor y restringir el acceso a direcciones IP de confianza. 3. Auditar sistemas: Realizar auditorías de claves SSH desconocidas, nuevos usuarios, tareas programadas y conexiones salientes inesperadas. 4. Ejecutar el escáner oficial: Virtualizor ha proporcionado un escáner que debe ser utilizado para detectar indicadores de compromiso. Este escáner verifica varios archivos y servicios que podrían haber sido afectados durante el ataque.
Conclusiones
El secuestro de BGP ha puesto de manifiesto la vulnerabilidad de las actualizaciones de software si no se implementan medidas de seguridad adecuadas. Los operadores de Virtualizor deben actuar con rapidez para proteger sus sistemas y minimizar el riesgo de futuros compromisos. La situación sigue bajo investigación, y se recomienda a los usuarios permanecer alerta ante cualquier actividad sospechosa en sus servidores.