![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Das h\u00f6rt sich wirklich nicht gut an – mit ist gerade eine Meldung untergekommen, dass Virtualizor vor einigen Tagen kompromittiert worden sein soll. Beim BGP-Hijack, der vor einigen Tagen stattfand, scheint ein Schadprogramm eingeschleust worden zu sein. Wer den Virtualizor verwendet, sollte Zugangsdaten widerrufen und zur\u00fccksetzen.<\/p>\n
Mir ist die Information \u00fcber eine\u00a0Kompromittierung des Virtualizor gerade von Sicherheitsforscher Florian Roth auf X untergekommen<\/a>.<\/p>\n Die Diskussion findet sich auf dieser Webseite<\/a>, wo es hei\u00dft, dass der\u00a0Virtualizor bei dem BGP-Hijack vor einigen Tagen kompromittiert wurde. Es scheint ein sch\u00e4dliches Paket installiert worden zu sein.<\/p>\n Im Thread wird angegeben<\/a>, dass die Kompromittierung am 29. August 2026 gegen 22:23:01 Uhr begonnen haben muss.\u00a0Im Thread hei\u00dft es<\/a>, dass der Update-Server von Virtualizor zu 100 % kompromittiert wurde. Der Vorfall sei durch einen weiterer Host und den betreffenden Poster best\u00e4tigt.<\/p>\n In diesem Post<\/a> hei\u00dft es, dass zwischen dem 28. August, ca. 20:57 Uhr UTC, und dem 30. August, ca. 06:10 Uhr UTC (2026) ein von den Diensten genutzter IP-Adressblock von Hetzner (162.55.80.0\/24) von einem BGP-Hijack betroffen war. Der Internetverkehr zu diesen Adressen wurde auf den Server eines Angreifers umgeleitet (angek\u00fcndigt von AS62390 \/ NexonHost, \u00fcber Transit-AS6204 \/ Zet.net). Der Angreifer hatte ein g\u00fcltiges TLS-Zertifikat f\u00fcr die Virtualizor-Domains erlangt, sodass bei den betroffenen Verbindungen keine Zertifikatswarnung angezeigt wurde.<\/p>\n \u00d6ffentliche RIPE-Routing-Daten best\u00e4tigen laut dem Post, dass der Hijack in zwei Wellen \u2013 einmal vom Abend des 28. August bis zum 29. August um ca. 08:50 Uhr, dann vom 29. August um ca. 20:00 Uhr bis zum 30. August um ca. 06:00 Uhr \u2013, mit einer etwa 11-st\u00fcndigen Pause ablief. Das Routing sei nun vollst\u00e4ndig wiederhergestellt.<\/p>\n Dieser BGP-Hijack hatte gravierende Auswirkungen: Ein b\u00f6sartiges Virtualizor-Updatepaket wurde an eine kleine Anzahl von Installationen ausgeliefert, die zuf\u00e4llig w\u00e4hrend dieser Zeit, als der Datenverkehr umgeleitet wurde, nach Updates suchten. Es handelte sich dabei um eine Handvoll Server, nicht um die allgemeine Nutzerbasis, hei\u00dft es. Da diese Anfragen jedoch an den Angreifer und nicht an die Virtualizor-Betreiber gingen, k\u00f6nnen diese keine genaue Liste der Betroffenen erstellen.<\/p>\n Daher sollten alle Kunden jeden verwendeten Virtualizor-Server als betroffen ansehen.\u00a0Es gilt die folgende Aufforderung f\u00fcr Kunden<\/a>:<\/p>\n Im Thread hei\u00dft es, dass die Malware eine IP-Adresse durch die Aufl\u00f6sung von connect.ne-rat[.]xyz\u00a0<\/em>bezogen werde. Nerat sei ein RAT-SaaS-Dienst, so dass es angeblich kein besonders ausgefeilter Angriff sei – aber die Kompromittierung scheint stattgefunden zu haben.<\/p>\n Der Poster bittet Leute, deren Host betroffen ist, eine Direktnachricht zu senden. Auch eine Zusammenarbeit mit Anbietern ist erw\u00fcnscht. Poster listen im Thread Provider auf, die das Produkt verwenden. Im Thread wird angegeben, dass auch proxmox von dieser Kompromittierung betroffen sei – allerdings gibt es hierzu keine Details. Das Ganze ist eh eine sich entwickelnde Geschichte.\u00a0Virtualizor\u00a0hat auf dieser Webseite<\/a> zwischen einen Post Incident-Report ver\u00f6ffentlicht.<\/p>\n","protected":false},"excerpt":{"rendered":" Das h\u00f6rt sich wirklich nicht gut an – mit ist gerade eine Meldung untergekommen, dass Virtualizor vor einigen Tagen kompromittiert worden sein soll. Beim BGP-Hijack, der vor einigen Tagen stattfand, scheint ein Schadprogramm eingeschleust worden zu sein. Wer den Virtualizor … Weiterlesen Der Virtualizor<\/a> ist eine kostenpflichtige, webbasierte Software zur Verwaltung und Automatisierung von virtuellen Servern (VPS). Sie wurde von dem Unternehmen Softaculous Ltd. entwickelt und richtet sich prim\u00e4r an Webhosting-Anbieter und Systemadministratoren, die eigene Serverlandschaften aufteilen und an Kunden vermieten wollen.
Ich gehe daher davon aus, dass einige Nutzer aus der Leserschaft mit dieser Software arbeiten, um ihre virtuellen Server automatisiert zu verwalten.<\/p>\n
Kompromittierung des\u00a0Virtualizor wird untersucht<\/h2>\n
![\"Virtualizor-Compromise\"](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/08\/Virtualizor-Compromise.jpg\")
<\/a><\/p>\nAngriff \u00fcber BGP-Hijack<\/h2>\n
Virtualizor-Updatepaket kompromittiert<\/h2>\n
\n