Un secuestro BGP entrega una actualización maliciosa de Virtualizor

El 1 de septiembre de 2026, Softaculous informó de que un atacante desvió mediante un secuestro de rutas BGP el tráfico dirigido a parte de la infraestructura de actualización de Virtualizor y al portal de clientes y facturación. La incidencia afectó a un bloque de direcciones IP alojadas en Hetzner entre las 20:57 UTC del 28 de agosto y las 06:10 UTC del 30 de agosto.

El desvío permitió entregar una actualización maliciosa de Virtualizor a un pequeño número de instalaciones que comprobaron si había nuevas versiones durante el incidente. Softaculous indicó que el alcance se limitó a un puñado de servidores y no a la base general de usuarios. Al haber sido redirigidas las solicitudes hacia servidores controlados por el atacante, la empresa no dispone de registros de esas conexiones.

Softaculous recomienda comprobar la existencia del servicio /etc/systemd/system/java-jre-update.service. Si está presente, los administradores deben rotar y restringir las credenciales de API, además de revisar los sistemas en busca de claves SSH, cuentas, tareas programadas y conexiones salientes no autorizadas. Quienes accedieran al área de clientes de Softaculous o introdujeran datos de pago durante la ventana del incidente deben cambiar sus contraseñas, revisar la actividad de sus cuentas y vigilar los movimientos de sus tarjetas.

La investigación continúa y Softaculous no ha encontrado indicios de que otros productos resultaran afectados. La compañía restauró el enrutamiento, comunicó el certificado fraudulento para su revocación y publicó Virtualizor 3.2.9.9 el 1 de septiembre, con una herramienta «Security Analyzer» en el panel de administración. También prevé incorporar firma criptográfica a todos los paquetes de software y migrar a una infraestructura mejorada.

Fuente: BleepingComputer.