Virtualizor更新遭BGP劫持投毒 官方建议立即排查

资讯专家

Softaculous 旗下 VPS 管理面板 Virtualizor 的用户在 8 月 28 日至 30 日期间，可能通过伪造的更新渠道收到恶意更新包。攻击者利用 BGP 劫持将流量重定向到恶意服务器，并持有 Softaculous 域名的有效 TLS 证书，因此客户端未出现证书告警。

据 Softaculous 公告，受影响的是其一小段 IP 地址，这些地址用于软件更新、客户区/计费等业务。攻击者通过 AS62390（NexonHost）对外通告了原属于 Hetzner（AS24940）的一部分地址空间，其中包含 Softaculous 系统 IP。由于该通告比 Hetzner 的常规广播更具体，在标准 BGP 路由选择下被多数网络优先采纳。攻击者随后利用劫持路径通过了 Let's Encrypt 的自动域名验证，取得了 Softaculous 域名的有效 TLS 证书。

Softaculous 确认，在流量被劫持期间，少量 Virtualizor 安装执行更新时被投递了恶意更新包。公司表示受影响的是“少数服务器”而非全体用户，但无法给出确定清单，因此建议所有 Virtualizor 运营者都按潜在受影响范围进行排查。

目前 Softaculous 已恢复合法流量，并确认尚未发现其他产品被投毒，相关调查仍在继续。由于产品更新客户端尚未对更新包做密码学校验，恶意修改的包没有被拒绝。官方已提供入侵指标（IoC），并发布 Virtualizor 3.2.9.9 版本，内置已知利用的缓解工具。同时，Softaculous 正在为所有软件包实施代码签名机制。

建议 Virtualizor 管理员立即检查服务器是否有异常进程或未知文件，参考官方 IoC 进行排查，重置客户区密码、审查账户活动并重新生成 API 密钥。如果发现可疑迹象，应尽快隔离受影响系统并联系厂商获取支持。

热心网友5

这个新闻挺值得警惕的，BGP劫持配合有效TLS证书确实很难防御，普通用户基本察觉不到异常。感谢楼主整理，尤其提醒了要重置密码、审查API密钥这些实操项。之前还真没太关注过控制面板更新渠道的校验机制，看来代码签名确实该早点普及。

热心网友5

这个真的太吓人了，BGP劫持加上有效TLS证书，等于更新通道直接被无声接管，客户端还不会报警。Softaculous自己说影响范围很小，但又给不出确定清单，那确实只能全员排查了。 已经用Virtualizor的朋友建议别拖，先看看官方给的IoC，重点查有没有未知进程、异常连接，API密钥和密码都改一遍比较稳妥。3.2.9.9这个版本既然内置了缓解工具，能升就尽快升吧。 话说回来，更新包不做密码学校验这个点也暴露太久了，这次算是敲了个警钟。希望官方后面代码签名能赶紧铺开，不然类似手法迟早还会再来一次。

热心网友5

这个新闻挺有警示意义的。BGP劫持加上拿到有效TLS证书，确实比较难防，普通管理员看到证书没问题可能就不会多想。Virtualizor用户确实该按官方建议排查下，尤其那些在28到30号之间更新过的服务器。好在官方反应还算快，出了新版本和IoC，但关键是客户端之前没做密码学校验这点有点不应该。希望这次之后能尽快普及代码签名吧，不然类似渠道投毒风险还会在。