BGP Hijack Compromete Hypervisores Virtualizor con Actualización Maliciosa
Virtualizor ha revelado un incidente de seguridad crítico donde actores maliciosos emplearon un ataque de BGP hijacking para desviar el tráfico de Softaculous y entregar una actualización maliciosa a instalaciones de Virtualizor. El período de ataque se extendió desde el 28 de agosto a las 20:57 UTC hasta el 30 de agosto a las 06:10 UTC. El proveedor de hosting AlbaHost reportó que 5 de sus 34 nodos hypervisor de Virtualizor fueron comprometidos a nivel root, lo que representa aproximadamente el 15% de su infraestructura. Aunque Virtualizor afirmó que el incidente afectó a "un puñado de servidores" en lugar de la base general de usuarios, la naturaleza del ataque expone vulnerabilidades sistémicas en los mecanismos de actualización de software.
La mecánica del ataque explotó la falta de verificación criptográfica en el cliente de actualizaciones de Virtualizor. Durante la ventana de diversión, el atacante obtuvo un certificado válido de Let's Encrypt, lo que permitió que las conexiones mostraran ausencia de advertencias de certificado. El código malicioso insertado en tres archivos legítimos de Virtualizor estableció persistencia mediante un cron job root que ejecutaba código modificado. El payload descargaba Java 17 cuando el runtime estaba ausente, ejecutándose posteriormente como root. La persistencia se garantizó mediante un servicio systemd, y se creó una cuenta no autorizada llamada "proxyuser" con una conexión SSH exitosa desde la IP 193.32.127[.]248.
El impacto en el ecosistema de proveedores de hosting es significativo. El tráfico de sesiones en el área de clientes y los datos de entrada de pago durante la ventana de diversión pudieron haber alcanzado el servidor controlado por el atacante. Virtualizor no ha reportado confirmación de robo de datos de cuentas de clientes o información de pago a fecha del 2 de septiembre. El incidente subraya las deficiencias en las prácticas de seguridad de la cadena de suministro de software, particularmente la ausencia de firma criptográfica de paquetes como característica estándar.
Como respuesta, Virtualizor lanzó el Patch 9 el 1 de septiembre con un Security Analyzer, aunque la firma criptográfica de paquetes continúa siendo "trabajo futuro". La compañía recomienda que los operadores ejecuten el escáner oficial, roten y restrinjan credenciales API, y auditen cada servidor. Para hosts con compromiso root confirmado, la única remediación confiable a largo plazo es una reconstrucción limpia. Este incidente serve como advertencia sobre los riesgos inherentes a los ataques BGP y la necesidad crítica de verificar criptográficamente todas las actualizaciones de software.