Злоумышленник взломал канал обновлений cPGuard и похитил данные серверов

Злоумышленник 2 ноября проник в систему обновлений защитного ПО cPGuard с помощью скомпрометированных учётных данных и разослал на Linux-серверы клиентов скрипт, который устанавливал бэкдор. Как сообщает The Hacker News со ссылкой на разработчика OPSSHIELD, скрипт распространялся в версиях 5.88.12–5.88.19 и собирал хеши паролей и другие конфиденциальные данные, часть которых злоумышленник уже забрал; версии 5.88.25 и новее удаляют бэкдор, но на затронутых серверах нужно сменить пароли и ключи.

Скрипт отправлял собранные данные на сервер лицензирования самой OPSSHIELD через скомпрометированную учётную запись. По предварительной оценке компании на 2 ноября, злоумышленник забрал оттуда 32 файла, каждый с данными одного сервера клиента. Общее число затронутых серверов неизвестно. По данным OPSSHIELD, атаку обнаружили в течение 12 часов после выхода этих версий, распространение скрипта остановлено, а учётные данные инфраструктуры сброшены.

Скрипт собирал следующие файлы, хотя набор мог различаться на разных серверах:

• /etc/shadow и /etc/passwd;
• конфигурацию MariaDB или MySQL для root (my.cnf);
• историю команд root;
• файлы разрешённых SSH-ключей и известных SSH-узлов для root.

Версии cPGuard 5.88.25 и новее удаляют бэкдор и оставленные скриптом файлы, но скопированные учётные данные могут оставаться действующими. OPSSHIELD рекомендует обновить все серверы с cPGuard, а там, где скрипт мог выполниться, сменить пароли и ключи. Отсутствие в журнале обновлений записей о версиях с вредоносным скриптом не исключает компрометации.

Компания также выпускает отдельное обновление, которое в качестве меры предосторожности удаляет ранее добавленные SSH-ключи доступа техподдержки. OPSSHIELD не сообщила, попал ли соответствующий закрытый ключ к злоумышленнику.