Security · 2.9.2026
Angreifer haben über ein manipuliertes BGP-Routing ein bösartiges Update für das VPS-Verwaltungstool Virtualizor verteilt, um dauerhaften Root-Zugriff zu erlangen.
Unbekannte Akteure haben durch eine gezielte Entführung des Border Gateway Protocols (BGP-Hijacking) den Datenverkehr des Software-Distributors Softaculous umgeleitet. Über diese manipulierten Datenströme gelang es den Angreifern, ein schadhaftes Update für das Virtualisierungs-Verwaltungstool Virtualizor an zahlreiche Installationen auszuliefern. Die infizierte Aktualisierung installiert eine hochentwickelte Hintertür, die den Angreifern einen dauerhaften und uneingeschränkten administrativen Zugriff (Root-Rechte) auf die betroffenen Host-Systeme sichert.
Virtualizor ist eine im DACH-Raum weit verbreitete Software zur Orchestrierung von Virtual Private Servern (VPS) auf Basis von Hypervisoren wie KVM, Xen oder OpenVZ. IT-Verantwortliche, Hoster und Systemhäuser nutzen das Tool zur Bereitstellung kritischer Kunden-Infrastrukturen. Ein erfolgreicher Angriff auf dieser Ebene stellt ein Worst-Case-Szenario dar: Angreifer, die Root-Rechte auf dem Host-System erlangen, können nicht nur den Datenverkehr der darauf laufenden virtuellen Maschinen abfangen, sondern auch Schadsoftware injizieren, Backups manipulieren oder Ransomware im gesamten Unternehmensnetzwerk verteilen. Da der Angriff auf der Netzwerkebene über BGP-Routing stattfand, versagten herkömmliche Sicherheitsprüfungen beim Herunterladen des Updates.
Administratoren von Virtualizor-Installationen müssen sofort aktiv werden und ihre Systeme einer tiefgehenden forensischen Prüfung unterziehen. Es wird dringend empfohlen, die Integrität aller ausführbaren Dateien des Virtualizor-Pakets zu verifizieren und nach unautorisierten SSH-Schlüsseln oder neuen Cronjobs zu suchen, die auf eine Persistenz der Angreifer hindeuten könnten. Der Hersteller hat bereits Sicherheitsrichtlinien und Bereinigungsmechanismen veröffentlicht, um kompromittierte Installationen zu identifizieren. Sollte ein Befall festgestellt werden, ist das betroffene Host-System unverzüglich vom Netzwerk zu isolieren und über ein nachweislich sauberes Backup neu aufzusetzen. Zudem sollten Unternehmen die Implementierung von Mechanismen wie RPKI (Resource Public Key Infrastructure) prüfen, um das Risiko von BGP-Hijacking auf Netzwerkebene zu minimieren.
Der Vorfall verdeutlicht erneut, dass Angriffe auf die Supply-Chain und die fundamentale Internet-Infrastruktur zunehmen. IT-Verantwortliche dürfen sich nicht blind auf automatisierte Update-Prozesse verlassen, sondern müssen kontinuierliche Integritätsprüfungen und Anomalie-Erkennungen auf Netzwerkebene etablieren.
Quelle: The Hacker News