Um sequestro de 33 horas ao próprio tráfego da Softaculous
Entre as 20:57 UTC de 28 de agosto e as 06:10 UTC de 30 de agosto de 2026, um atacante sequestrou o encaminhamento BGP de um bloco de endereços IP alojados na Hetzner e pertencentes à Softaculous, a empresa responsável pelo painel de controlo VPS Virtualizor, amplamente utilizado. A rede fraudulenta AS62390, a operar sob o nome NexonHost, anunciou uma rota mais específica para o bloco 162.55.80.0/24 do que o próprio anúncio da Hetzner. A Softaculous depende da Hetzner para a infraestrutura que suporta os servidores de licenciamento, atualização e download do Virtualizor, o que tornou o bloco sequestrado especialmente valioso para um atacante.
Segundo as regras habituais de seleção de rotas do BGP, a rota mais específica prevalece onde quer que seja aceite, pelo que o tráfego destinado aos servidores da Softaculous foi redirecionado para a infraestrutura do atacante durante cerca de 33 horas. A BleepingComputer e a The Register noticiaram ambas o sequestro a 1 de setembro de 2026, e a Softaculous confirmou depois a cronologia e os pormenores técnicos no seu próprio relatório do incidente. A Cybersecuritynews.com e a GBHackers publicaram cobertura corroborante no mesmo dia, descrevendo o sequestro como um exemplo escolar de ataque com prefixo mais específico contra o espaço de endereços de um fornecedor de alojamento.
| Evento | Hora (UTC) |
|---|---|
| Início do sequestro BGP | 20:57, 28 ago. 2026 |
| Fim da janela de sequestro | 06:10, 30 ago. 2026 |
| Duração total do sequestro | Cerca de 33 horas |
| Lançamento do Virtualizor 3.2.9.9 corrigido | 1 set. 2026 |
Porque é que o certificado nunca gerou um aviso
O sequestro não se limitou a redirecionar tráfego: também capturou as verificações de validação de domínio que a Let's Encrypt utiliza para confirmar quem controla um domínio, o que permitiu ao atacante pedir e receber um certificado TLS real e validamente assinado para o domínio sequestrado. As ligações ao servidor do atacante não mostravam qualquer aviso de certificado, porque, para a autoridade de certificação, o pedido parecia vir do proprietário legítimo do domínio. Nem o cadeado do browser, nem a cadeia de certificação, nem a própria ligação davam qualquer sinal de que algo estava errado.
Essa é a parte incómoda deste incidente: a validação automatizada da Let's Encrypt funcionou exatamente como foi concebida. Verifica que quem responde num endereço IP controla o domínio, e durante a janela de sequestro o atacante respondia mesmo nesse endereço. A falsificação não estava no certificado, mas sim no encaminhamento que decidia quem podia provar a propriedade. Essa distinção é importante: reforçar apenas a validação de domínio não impediria uma repetição, pois a fragilidade está na camada de encaminhamento por baixo.
Um cliente de atualizações que nunca verificou uma assinatura
Um pacote de atualização malicioso do Virtualizor chegou a um número reduzido de instalações, precisamente as que por acaso verificaram atualizações durante a janela de sequestro, e não à base de utilizadores do Virtualizor em geral. O próprio cliente de atualizações do Virtualizor não verifica criptograficamente os pacotes que descarrega, pelo que um certificado válido numa rota sequestrada foi suficiente para executar código controlado pelo atacante como root nos servidores afetados. O Virtualizor é utilizado para gerir uma boa parte do alojamento VPS económico e de gama média em todo o mundo, o que explica porque é que até um comprometimento restrito e limitado no tempo atraiu a atenção de vários meios de segurança.
A carga maliciosa instalou chaves SSH não autorizadas e um serviço systemd falso disfarçado de java-jre-update.service, dando ao atacante uma porta das traseiras persistente capaz de sobreviver a um reinício e de parecer, à primeira vista, uma atualização Java normal. A Softaculous lançou a versão corrigida Virtualizor 3.2.9.9 a 1 de setembro de 2026, juntamente com o seu próprio relato do incidente. O aviso da empresa recomenda procurar tanto as chaves SSH intrusas como o serviço disfarçado pelo nome, uma vez que a porta das traseiras foi concebida para se confundir com processos legítimos do sistema.
O que os operadores europeus devem ao abrigo da NIS2
Para qualquer operador da UE ou do Reino Unido que faça correr infraestrutura na Hetzner ou noutro alojamento europeu, a lição prática é que um certificado HTTPS válido não é prova de autenticidade quando o encaminhamento subjacente pode ser falsificado. O anúncio de rotas da Hetzner manteve-se correto durante todo o incidente; o comprometimento residiu inteiramente no tráfego que escolheu, em vez disso, a rota mais específica do atacante. Um mecanismo de atualização automática que não verifica assinaturas é um ponto único de falha, por mais sólida que seja a infraestrutura envolvente. A mesma lógica aplica-se para além do Virtualizor, a qualquer produto que descarregue e instale código automaticamente sem verificar uma assinatura criptográfica.
A remediação recomendada para quem utiliza o Virtualizor, ou o cliente de atualização automática de outro fornecedor sem verificação de assinaturas, é simples: rodar e restringir as credenciais de API, e auditar os servidores em busca de chaves SSH, contas, tarefas agendadas e ligações de saída não autorizadas. Ao abrigo da NIS2, as empresas da UE que dependem de software de terceiros para infraestruturas críticas têm obrigações de diligência devida na cadeia de fornecimento, e um incidente em que o próprio canal de atualização do fornecedor se tornou o vetor de ataque encaixa diretamente nessa obrigação.
Porque fazemos isto
Fazemos isto por todos os que tentam acompanhar aquilo que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem ela acontece. O Servola Journal existe para que aquilo que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem publicidade, sem barreira de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que nos está a acontecer a todos não devia depender de quem se pode dar ao luxo de pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto ou escreva um comentário positivo. Lemos todos e cada um deles, e são eles que nos mantêm em marcha.
Leia a seguir: Equipas De Segurança Da UE Sem Voz Sobre A Astra | Explorado Semanas Antes de o PaperCut Corrigir
