В июле‑сентябре 2 026 года спецы из CURATOR зафиксировали 11 глобальных утечек маршрутов и один BGP‑перехват, а число АС, совершающих перехваты, упало на 38,2% за год благодаря росту внедрения RPKI ROA. Но именно этот перехват оказался показательным: из‑за особенностей настройки ROA поддельный маршрут к адресам Hetzner, где размещался сервер обновлений Virtualizor, был признан валидным. Атакующие перехватили трафик Softaculous, выпустили действительный TLS‑сертификат для доменов компании и разослали части клиентов вредоносное обновление.
Итак, показательный случай: злоумышленники провели BGP‑перехват, который формально прошёл проверку RPKI ROA — механизма, который должен такие перехваты предотвращать. Инцидент стал частью supply chain‑атаки на клиентов компании Softaculous, разработчика платформы Virtualizor. Злоумышленники анонсировали более специфичный маршрут к части адресного пространства хостинг‑провайдера Hetzner, где размещались ресурсы Softaculous, включая сервер обновлений Virtualizor. Из‑за особенностей настройки ROA для этого адресного пространства поддельный маршрут оказался RPKI‑валидным и беспрепятственно распространился по интернету. Это позволило злоумышленникам перехватить часть трафика Softaculous, выпустить на своё имя действительный TLS‑сертификат для доменов компании и распространить вредоносное обновление Virtualizor среди части клиентов компании.
Снижение числа уникальных автономных систем, совершавших BGP‑перехваты, в CURATOR связывают как раз с ускоренным внедрением RPKI ROA в течение года. При этом число автономных систем, ответственных за утечки маршрутов — проблему, против которой RPKI ROA не защищает, — снизилось всего на 6,4% год к году. Профильные механизмы для борьбы с утечками (RFC 9 234 и ASPA) пока находятся лишь на начальных стадиях внедрения, поэтому прогресса здесь ждать рано.
Тем, кому интересна тема BGP, могут ознакомиться с полной версией отчета CURATOR за 3 квартал 2 026 года, а также с отчетами за предыдущие периоды в блоге компании (https://curator.pro/library/blog/).
Источник: habr.com