BGP hijack infecta redes de Softaculous mediante errores de configuración en Hetzner
Un ataque de BGP, ejecutado entre el viernes 22 de septiembre y el domingo 24, comprometió la infraestructura de Softaculous, empresa emiratí que desarrolla Virtualizor, una plataforma de gestión de entornos virtualizados. Los atacantes explotaron la falta de validación de actualizaciones y la configuración laxa de Hetzner Online, Zet.net y Nexon Host, logrando anunciar durante 33 horas el prefijo 162.55.80.0/24 (256 direcciones) y generar tráfico malicioso que disfrazó paquetes de actualización.
El anuncio fraudulento utilizó una ruta con origen falsificado que coincidía con la autorización RPKI de AS24940, permitiendo que el prefijo /24 fuera considerado válido y, gracias al longest‑prefix‑match, prevaleciera sobre la ruta legítima 162.55.0.0/16. La ausencia de firma criptográfica en los paquetes de actualización y la falta de monitoreo continuo en los routers de Hetzner y Zet.net permitieron que el malware se distribuyera sin ser detectado.
Softaculous, aunque no ha revelado valoración pública, se posiciona como un actor relevante en el mercado de paneles de control y gestión de software web, compitiendo con soluciones como cPanel y Plesk. La dependencia de proveedores de hosting para la distribución de actualizaciones y la ausencia de mecanismos de firma de código ponen en riesgo a miles de servidores, subrayando la necesidad de una mayor inversión en seguridad y de una valoración que refleje la exposición a riesgos.
Este episodio demuestra que la adopción parcial de RPKI y la configuración de políticas de anuncio demasiado permisivas pueden anular las protecciones de la capa de routing, lo que obliga a los operadores a reforzar sus políticas de validación de rutas y a los desarrolladores a implementar firmas digitales en sus actualizaciones, garantizando la integridad del ecosistema de hosting y mitigando futuros vectores de ataque.