해커, BGP 하이재킹 공격으로 Virtualizor 악성 업데이트 배포

해커들이 BGP(Border Gateway Protocol, 인터넷 트래픽 경로를 결정하는 핵심 프로토콜) 라우팅을 하이재킹해 Virtualizor VPS 관리 소프트웨어의 업데이트 인프라를 장악한 뒤, 업데이트 요청을 악성 서버로 우회시켜 악성 업데이트를 배포했습니다.

Virtualizor는 Softaculous가 만든 레거시 웹 컨트롤 패널로, 호스팅 사업자들이 VPS(가상 사설 서버)를 생성·판매·관리하는 데 사용합니다.

벤더가 발표한 긴급 공지에 따르면, 8월 28일 20:57 UTC부터 8월 30일 06:10 UTC 사이에 공격자가 Hetzner에 호스팅된 IP 주소 블록을 BGP 하이재킹 공격으로 경로를 우회시켰습니다.

이를 통해 위협 행위자는 Softaculous 소프트웨어 업데이트 시스템과 클라이언트/결제 포털로 향하는 트래픽을 가로챌 수 있었습니다.

BGP 하이재킹은 네트워크 운영자가 다른 조직의 IP 주소에 대한 경로를 허위로 공표할 때 발생합니다. 다른 조직들이 이 허위 경로를 우선 경로로 수락할 수 있습니다.

이 방식으로 트래픽을 수신한 공격자는 트래픽을 수정하거나 악성 목적지로 리다이렉트할 수 있습니다.

Softaculous는 이번 BGP 하이재킹으로 해커들이 소수의 설치 서버에 악성 Virtualizor 업데이트를 배포할 수 있었다고 밝혔습니다.

"트래픽이 우회되는 동안 업데이트를 확인한 소수의 설치 서버에 악성 Virtualizor 업데이트 패키지가 배포된 것을 확인했습니다"라고 벤더는 밝혔습니다.

"이는 일반 Virtualizor 전체 사용자가 아닌 소수의 서버에만 영향을 미쳤습니다."

요청이 공격자에게 우회되었기 때문에 소프트웨어 벤더 측에는 로그가 없습니다. Softaculous는 Virtualizor 운영자에게 다음 서비스의 존재 여부를 확인하도록 권고합니다:

/etc/systemd/system/java-jre-update.service

해당 파일이 발견된 경우, 관리자는 API 자격증명을 교체·제한하고, 무단 SSH 키, 계정, 예약 작업, 외부 통신 여부를 시스템에서 감사해야 합니다.

또한 사고 발생 기간 중 Softaculous 클라이언트 영역에 접근하거나 결제 정보를 입력한 사용자는 비밀번호를 재설정하고 계정 활동을 검토하며 카드 내역을 모니터링해야 합니다.

Softaculous의 사고 조사는 아직 진행 중이지만, 다른 제품들에는 영향이 없는 것으로 보입니다.

Softaculous는 라우팅이 복구되었고, 위조 인증서의 폐기를 신청했으며, 9월 1일에 관리자 패널에 "Security Analyzer(보안 분석기)" 도구를 포함한 Virtualizor 신버전 3.2.9.9를 배포했다고 밝혔습니다.

또한 회사는 향후 모든 소프트웨어 패키지에 암호화 서명을 구현하고 더 나은 인프라로 마이그레이션할 계획입니다.