北京
一场持续三天的BGP劫持
老牌VPS服务器管理面板Virtualizor确认发生严重供应链攻击。攻击者在UTC时间2026年8月28日至30日劫持了Softaculous部分服务器所在IP端的BGP路由，把管理面板更新服务器的流量导向了攻击者掌握的主机。这次攻击不是小范围试探，而是有组织的大规模路由劫持。
根据RIPE RIS数据分析，386个观测节点全部曾在某个时间看到恶意路由。当劫持活跃时，约有72%的完整RIS观测节点将流量导向攻击者。这意味着绝大多数下游服务器在检查更新时，访问到的都是攻击者伪造的更新源。
HTTPS证书也没拦住
更麻烦的是，相关域名的Let's Encrypt验证请求同样受到路由劫持影响。攻击者直接申请到了Virtualizor相关多个域名的有效数字证书。下游服务器访问恶意资源更新时不会出现证书错误，单纯依赖HTTPS无法发现异常。
Virtualizor至今没有在发布更新时使用严格的签名验证。只要下游服务器接收到更新且HTTPS没有报错，就可以直接安装。根据当前调查取证结果，黑客篡改后的软件包包含多种恶意代码，最终恶意代码通过root权限执行。
后门程序的具体行为
相关后门程序会向宿主机添加攻击者的密钥对，并下载基于Java开发的持久化程序，随后连接31.77.220.138:2025。黑客可以直接通过密钥对以root用户登录服务器执行操作。这意味着攻击者拿到的是宿主机最高权限，不是普通用户权限。
使用Virtualizor管理面板的服务器提供商非常多。AlbaHost已经确认有5台宿主机感染后门程序，不过这家VPS提供商目前审计未发现数据库被导出的情况。但有VPS服务器提供商发现疑似数据库被导出的迹象。由于黑客已经获得root权限，可以直接在受影响节点上获取密码、数据库凭证和其他敏感信息。
谁先发现了问题
澳大利亚服务商DreamIT Host最先发现异常情况。该公司在LowEndTalk论坛发出紧急警告，提醒所有使用Virtualizor面板的服务器提供商立即进行排查。不过DreamIT Host暂时未公布是否有宿主机中招。
目前公布相关事件的服务提供商非常少。已知使用Virtualizor面板的平台包括SolidVPS、SmokyHosts、HostDare、Fourplex、RareCloud、HostMayo、HostNamaste、LittleCreek、HostSlick、3K33、NaranjaTech、iHostArt等。以上只是少部分，实际使用该面板的平台可能有数百家。
用户现在该做什么
目前没有任何证据表明这些宿主机上的虚拟机被黑客投毒，但用户应当立即备份服务器数据，以防被加密或数据被窃取。具体是否受影响需要各个服务商自行调查和公布。建议用户立即备份自己的服务器数据，以防后续出现部署勒索软件加密文件的情况。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
