La fiducia nell’update di Virtualizor è stata dirottata
Virtualizor è finito dentro una campagna attiva di supply chain: un BGP hijack ha deviato il traffico di update verso server controllati dagli attaccanti, che hanno servito update malevole invece di quelle legittime. Chi ha installato il prodotto durante la finestra del dirottamento può aver ricevuto codice ostile dal normale canale del vendor.
Il meccanismo è semplice e grave: non è stato necessario violare i server di Virtualizor. È bastato spostare la strada su cui viaggiavano le richieste di update, così il client si è fidato di una risposta falsa perché arrivata dal percorso che considerava valido. In pratica, il canale di distribuzione è diventato il punto d’ingresso.
Per gli operatori di hosting e per chi gestisce host di management VPS, la lezione è che la fiducia nel percorso di update conta quanto il software stesso. Se il delivery path può essere deviato, un sistema può sembrare aggiornato correttamente e invece portarsi dentro codice dell’attaccante.