33時間のBGPハイジャック攻撃によるSoftaculousの混乱：インターネットルーティングが武器に

33時間にわたり、cPanel/Pleskのホスティング事業者で使用されているWebアプリケーションインストーラー「Softaculous」へのトラフィックが、BGPハイジャック攻撃により密かにリダイレクトされていました。これは、世界的なWebホスティングインフラの重要な部分における大規模な露出の窓でした。

何が起きたのか：33時間にわたるBGPハイジャック

33時間にわたり、Softaculous - 共有ホスティング（WordPress、Joomla、Drupal、400以上のアプリ）で最も普及しているWebアプリケーションインストーラーのトラフィックが、悪意のあるサーバーに静かにリダイレクトされていました。

この攻撃は、インターネット上の自律システム（AS）間のルーティングを管理するプロトコルであるBGP（Border Gateway Protocol）の構造的な脆弱性を悪用したものです。攻撃者は中間ASを介してSoftaculousが所有するIPプレフィックスを発表し、インターネットのバックボーンの一部のルーターをだましました。正当な接続は敵対者が管理するサーバーに転送され、潜在的に中間者攻撃、認証情報の収集、改ざんされたコードの配布に使用される可能性がありました。

影響を受けるのは誰か

Softaculousは、cPanel、Plesk、DirectAdminなどのホスティング業者によって、Webアプリケーションのインストールやアップデートに使用されています。共有ホスティングを管理しているか、cPanelホスティングを再販している場合、お客様はおそらくSoftaculousを使用しています。

この33時間の間、Softaculous経由でトリガーされたインストールやアップデートは、改ざんされたサーバーを指す可能性がありました。主なリスクは、配布されるパッケージへのコードインジェクションです。

今すぐ行うべきこと

• Softaculousの認証情報をリセットし、インシデント発生中にインストールまたはアップデートされたアプリケーションの整合性を確認する
• RPKI（Resource Public Key Infrastructure）をネットワークインフラに有効化する - BGPハイジャックに対する技術的な防御策
• BGPmon / RIPE RISを監視し、自社のIPプレフィックスの異常な発表を検出する
• Softaculousのインストール内で悪意のあるパッケージを検索する（Softaculousからの直接のアドバイス）

BGP：インターネットのアキレス腱

BGPは1989年にさかのぼり、ネイティブの認証メカニズムを一切備えていません。ASへのアクセス権を持つ誰でも、誤ってまたは悪意を持って、自分が所有していないIPプレフィックスを発表できます。RPKI（Resource Public Key Infrastructure）によりルートの発表を暗号的に検証できますが、その採用はここ数年で目覚ましい進展があるものの、まだ部分的なままです。

今すぐ行うべきこと

1. インシデント発生中にSoftaculousによるインストールやアップデートが行われたかどうかを特定する
2. 認証情報をリセットし、インストールされたパッケージを確認する
3. インフラでRPKI（BGPルートオリジン検証）を有効化する