Un secuestro de BGP distribuye una actualización maliciosa de Virtualizor que permite obtener acceso de root persistente

Un ata­que de se­cues­tro del Pro­to­co­lo de Puer­ta de En­la­ce Fron­te­ri­za (BGP) re­di­ri­gió de ma­ne­ra ilí­ci­ta el trá­fi­co de Sof­tacu­lous, per­mi­tien­do a los ata­can­tes en­viar un pa­que­te ma­li­cio­so de Vir­tua­li­zor a cier­tas ins­ta­la­cio­nes. Du­ran­te este pe­rio­do, los res­pon­sa­bles con­si­guie­ron un cer­ti­fi­ca­do vá­li­do para que las co­ne­xio­nes no mos­tra­ran ad­ver­ten­cias y, dado que el sis­te­ma ca­re­cía de ve­ri­fi­ca­ción crip­to­grá­fi­ca de pa­que­tes, las ins­ta­la­cio­nes afec­ta­das acep­ta­ron la ac­tua­li­za­ción mo­di­fi­ca­da que in­tro­du­jo ac­ce­sos no au­to­ri­za­dos con pri­vi­le­gios de root.

Los ope­ra­do­res afec­ta­dos de­tec­ta­ron mo­di­fi­ca­cio­nes ma­li­cio­sas en ar­chi­vos le­gí­ti­mos eje­cu­ta­dos me­dian­te ta­reas pro­gra­ma­das, lo que fa­ci­li­tó la ins­ta­la­ción de soft­wa­re adi­cio­nal, la crea­ción de una clave de ac­ce­so no au­to­ri­za­da en la cuen­ta prin­ci­pal, la con­fi­gu­ra­ción de un ser­vi­cio per­sis­ten­te y el re­gis­tro de un nuevo usua­rio. Aun­que el pro­ble­ma afec­tó a un nú­me­ro re­du­ci­do de ser­vi­do­res, la em­pre­sa pro­vee­do­ra acon­se­jó re­vi­sar todos los equi­pos al no con­tar con un re­gis­tro de­fi­ni­ti­vo de las ver­sio­nes o ins­ta­la­cio­nes que re­ci­bie­ron el pa­que­te al­te­ra­do.

Como res­pues­ta al in­ci­den­te, se lanzó una ac­tua­li­za­ción que in­clu­ye un ana­li­za­dor de se­gu­ri­dad y se emi­tie­ron re­co­men­da­cio­nes de­ta­lla­das para los ad­mi­nis­tra­do­res. Entre las me­di­das fi­gu­ran la eje­cu­ción del es­cá­ner ofi­cial, la ro­ta­ción de cre­den­cia­les, la re­vi­sión de cla­ves y usua­rios des­co­no­ci­dos, así como la au­di­to­ría de co­ne­xio­nes y ta­reas pro­gra­ma­das en busca de per­sis­ten­cia, ade­más de con­tac­tar al so­por­te téc­ni­co antes de rea­li­zar cual­quier re­me­dia­ción para con­ser­var las evi­den­cias.