Атакуващи са проникнали в инфраструктурата за разпространение на актуализации на Linux защитния пакет cPGuard и са използвали достъпа, за да внедрят задна врата и скрипт за кражба на чувствителна информация. Според разработчика OpsShield инцидентът е засегнал 2946 сървъра, а откраднатите данни включват идентификационни данни, настройки на бази данни и SSH информация.
Компрометирането е започнало на 2 ноември 2026 г. в 02:06 UTC, когато неизвестен нападател е получил неоторизиран достъп до инфраструктурата за разпространение на актуализации на OpsShield. По информация на компанията първоначалният достъп е осъществен чрез компрометирани легитимни идентификационни данни. Засега не е установено как те са били придобити.
Атакуващият е използвал достъпа, за да разпространи злонамерен скрипт чрез официалния канал за актуализации на cPGuard. Засегнати са версиите от 5.88.12 до 5.88.19. OpsShield съобщава, че е установила пробива и е спряла разпространението на зловредния код в рамките на 12 часа след публикуването на компрометираните версии.
Какви данни са били събирани
cPGuard е пакет за защита на Linux уебсървъри, който включва сканиране за зловреден софтуер, защитна стена и механизми за предотвратяване на атаки. Използва се от хостинг компании и системни администратори, включително в среди с контролни панели като cPanel, DirectAdmin и Plesk.
Потребителите, които са актуализирали cPGuard в периода на компрометирането, са могли да получат скрипт, насочен към чувствителна информация на сървърите. Сред потенциално събраните данни са:
- хешове на паролите в Linux;
- конфигурационни файлове на MariaDB и MySQL с данни за достъп до базите;
- история на командите в обвивката на root потребителя;
- файлове с разрешени SSH ключове и списъци с познати хостове.
Събраната информация е била изпращана към сървъра за лицензиране на OpsShield чрез компрометиран акаунт. След това нападателите са използвали същия достъп, за да извлекат данните.
Разследването на компанията показва, че извършителят е изтеглил по 32 файла от всеки клиент. OpsShield обаче не е установила окончателно каква информация е била събрана от всеки отделен сървър.
Засегнати са близо 3000 сървъра
Пред BleepingComputer представител на OpsShield е потвърдил, че са установени 2946 засегнати сървъра. По думите му нападателите са копирали описаната чувствителна информация, както и базата данни на системата за фактуриране на компанията.
OpsShield работи по блокирането на неоторизирания достъп, възстановяването на засегнатите системи и подготовката на публично съобщение за инцидента.
Компанията не може да потвърди, че всички сървъри, получили компрометирана версия, са изпълнили злонамерения скрипт. Според нея периодичните проверки за актуализации може да са ограничили броя на системите, които са изтеглили и стартирали скрипта.
Какво трябва да направят администраторите
OpsShield препоръчва всички инсталации на cPGuard да бъдат актуализирани до версия 5.88.25 или по-нова. Според разработчика тази актуализация премахва задната врата и временно съхраняваните злонамерени файлове.
Самото обновяване обаче не е достатъчно, за да се неутрализират последиците от евентуална кражба на идентификационни данни. Администраторите трябва възможно най-бързо да:
- сменят паролите, които може да са били изложени;
- подменят идентификационните данни за достъп до базите данни;
- ротират SSH ключовете;
- обновят облачните тайни и други съхранявани на сървърите секрети;
- проверят за неоторизиран достъп и необичайна активност в засегнатите системи.
Като допълнителна предпазна мярка OpsShield планира да публикува актуализация, която да премахне и по-рано инсталираните ключове за поддръжка на компанията.
Инцидентът показва специфичния риск при компрометиране на веригата за доставка на софтуер: доверието в легитимния механизъм за актуализации може да превърне стандартната процедура по поддръжка в канал за проникване. В случая атакуващите не са имали нужда да убеждават администраторите да инсталират непознат софтуер – злонамереният код е достигнал до системите през инфраструктурата, на която те разчитат за тяхната защита.
