Hacker Menyisipkan Update Virtualizor Berbahaya dalam Serangan BGP Hijacking

Pelaku serangan siber berhasil menyisipkan update berbahaya ke software manajemen VPS Virtualizor setelah membajak routing BGP untuk infrastruktur pembaruan Softaculous. Serangan tersebut memungkinkan permintaan update dialihkan ke server milik penyerang sehingga sebagian kecil pengguna menerima paket software berbahaya.

Virtualizor merupakan panel kontrol berbasis web dari Softaculous yang banyak digunakan penyedia hosting untuk membuat, menjual, serta mengelola virtual private server (VPS).

Insiden ini terjadi antara 28 Agustus pukul 20:57 UTC hingga 30 Agustus pukul 06:10 UTC. Dalam rentang waktu tersebut, penyerang membajak rute untuk sejumlah alamat IP yang di-hosting di Hetzner.

Traffic Update Dialihkan melalui BGP Hijacking

Serangan menggunakan teknik BGP hijacking, yaitu manipulasi Border Gateway Protocol untuk membuat jaringan lain percaya bahwa rute menuju alamat IP milik suatu organisasi berada melalui jaringan penyerang.

Ketika rute palsu tersebut diterima sebagai jalur yang lebih disukai, traffic dapat dialihkan ke infrastruktur yang dikendalikan pelaku.

Dalam kasus ini, penyerang berhasil mengalihkan traffic yang seharusnya menuju sistem update software Softaculous. Traffic ke client dan billing portal perusahaan juga ikut terdampak.

Kondisi tersebut memberi kesempatan kepada pelaku untuk memanipulasi respons terhadap permintaan update dan mengirimkan paket Virtualizor berbahaya kepada pengguna yang melakukan pengecekan pembaruan ketika routing sedang dibajak.

Hanya Sejumlah Kecil Server yang Terpengaruh

Softaculous mengatakan telah mengonfirmasi bahwa paket update Virtualizor berbahaya memang dikirimkan ke sejumlah kecil instalasi.

Namun, perusahaan menegaskan bahwa insiden tersebut tidak berdampak terhadap seluruh pengguna Virtualizor.

“This affected a handful of servers rather than the general Virtualizor user base.”

Karena traffic selama serangan dialihkan langsung ke server penyerang, Softaculous mengatakan pihaknya tidak memiliki log lengkap mengenai permintaan yang diteruskan melalui infrastruktur tersebut. Kondisi ini membuat perusahaan kesulitan menentukan secara pasti instalasi mana saja yang telah menerima paket berbahaya.

Admin Diminta Memeriksa Service Mencurigakan

Softaculous meminta administrator Virtualizor untuk memeriksa keberadaan service berikut pada server mereka:

/etc/systemd/system/java-jre-update.service

Jika service tersebut ditemukan, administrator disarankan menganggap sistem berpotensi telah terpengaruh dan segera melakukan pemeriksaan lebih lanjut.

Softaculous juga merekomendasikan sejumlah langkah mitigasi, termasuk:

• Melakukan rotasi terhadap kredensial API.
• Membatasi akses menggunakan kredensial API tersebut.
• Memeriksa adanya SSH key yang tidak sah.
• Memeriksa akun pengguna yang mencurigakan.
• Mengaudit scheduled task yang tidak dikenal.
• Memeriksa koneksi outbound yang tidak biasa dari server.

Langkah-langkah tersebut penting untuk memastikan bahwa akses yang mungkin diperoleh penyerang melalui update berbahaya tidak digunakan untuk mempertahankan persistence atau melakukan serangan lanjutan.

Pengguna Portal Softaculous Juga Perlu Waspada

Dampak insiden tidak hanya berpotensi menyentuh server yang menjalankan Virtualizor.

Pengguna yang mengakses client area Softaculous atau memasukkan informasi pembayaran selama periode serangan juga diminta mengambil tindakan pencegahan.

Softaculous menyarankan pengguna untuk:

1. Mengganti password akun.
2. Memeriksa aktivitas akun untuk mencari tindakan yang tidak dikenal.
3. Memantau mutasi atau laporan kartu pembayaran untuk transaksi mencurigakan.

Langkah tersebut diperlukan karena traffic menuju portal client dan billing juga termasuk dalam jalur yang sempat dialihkan selama BGP hijacking.

Virtualizor 3.2.9.9 Dirilis

Investigasi Softaculous terhadap insiden ini masih berlangsung. Hingga saat ini, perusahaan mengatakan belum menemukan indikasi bahwa produk Softaculous lainnya ikut terdampak.

Routing ke infrastruktur perusahaan kini telah dipulihkan. Sertifikat yang digunakan secara tidak sah oleh penyerang juga telah dilaporkan untuk proses pencabutan.

Sebagai langkah tambahan, Softaculous merilis Virtualizor versi 3.2.9.9 pada 1 September 2026. Versi baru tersebut membawa fitur Security Analyzer yang dapat digunakan melalui panel administrasi untuk membantu pengguna memeriksa kondisi keamanan sistem.

Perusahaan juga berencana memperkuat mekanisme distribusi software dengan menerapkan cryptographic signing untuk seluruh paket software pada masa mendatang. Softaculous juga akan memigrasikan infrastruktur update ke lingkungan yang dinilai lebih aman.

BGP Hijacking Menunjukkan Risiko pada Infrastruktur Update

Serangan ini menunjukkan bahwa keamanan mekanisme update tidak hanya bergantung pada software yang didistribusikan, tetapi juga pada infrastruktur jaringan yang digunakan untuk mengirimkannya.

Jika traffic update berhasil dialihkan melalui BGP hijacking, penyerang dapat berada di antara pengguna dan server update tanpa harus membobol langsung sistem vendor. Dalam kondisi tertentu, hal ini memungkinkan paket yang diterima pengguna dimanipulasi sebelum sampai ke perangkat mereka.

Kasus Virtualizor menjadi pengingat bagi penyedia software dan administrator server bahwa validasi cryptographic signature pada paket update merupakan lapisan pertahanan penting untuk mencegah update palsu diterima sebagai software resmi.

Sumber: Softaculous