Атакуващи са компрометирали инфраструктурата за обновяване на пакета за уеб сигурност cPGuard, за да разпространят задна вратичка (backdoor) и скрипт за кражба на данни.
OpsShield, разработчикът на cPGuard, публикува предупреждение по-рано днес, в което посочва, че атаката е започнала на 2 ноември в 02:06 UTC и е засегнала версии от 5.88.12 до 5.88.19.
Доставчикът твърди, че е открил пробива и е спрял разпространението на злонамерения код в рамките на 12 часа, след като атакуващият е публикувал компрометираните версии на cPGuard.
Въпреки че компанията не можа да потвърди със сигурност, тя заяви, че някои сървъри може да не са получили и стартирали зловредния скрипт, тъй като проверките за обновления се извършват на определени интервали.
Атакуващият е използвал легитимни идентификационни данни за получаване на първоначален достъп, макар че остава неясно как са били придобити те.
„На 2 ноември 2026 г. в 02:06 UTC неидентифициран атакуващ използва компрометирани идентификационни данни, за да получи неоторизиран достъп до инфраструктурата за разпространение на обновления (CDN) на OpsShield“, заявиха от OpsShield.
„Атакуващият използва този достъп, за да разпространи зловреден скрипт чрез канала за обновяване на cPGuard.“
cPGuard е пакет за сигурност на уеб сървъри с Linux, предлагащ сканиране за зловреден софтуер, защитни стени и защита от атаки.
Той се използва широко от хостинг компании и сървърни администратори заедно с контролни панели като cPanel, DirectAdmin и Plesk. Namecheap го предлага за своите VPS и наети сървъри.
Потребителите, актуализирали cPGuard по време на прозореца на компрометиране, са получили скрипт, насочен към чувствителни данни на техните машини:
- Хешове на пароли в Linux
- Конфигурация на root базата данни (MariaDB/MySQL)
- История на командите в root обвивката (shell)
- Файлове за SSH оторизация и познати хостове (known-hosts) на root потребителя
Откраднатите данни са били качени на сървъра за лицензиране на OpsShield чрез компрометиран акаунт, който атакуващите след това са използвали, за да ги извлекат.
Въпреки че OpsShield не е установила какви точно данни са били събрани от всеки отделен сървър, доказателствата от разследването на компанията показват, че злонамереният субект е извлякъл по 32 файла от всеки клиент.
Системните администратори се съветват да обновят всеки сървър с cPGuard до версия 5.88.25 или по-нова, да нулират паролите и да подменят идентификационните данни за бази данни, тайните ключове за облачни услуги и SSH ключовете.
OpsShield отбелязва, че обновяването до последната версия на cPGuard премахва задната вратичка и подготвените за извличане файлове; въпреки това откраднатите идентификационни данни трябва да бъдат анулирани възможно най-скоро.
Доставчикът също така заяви, че като допълнителна предпазна мярка ще пусне обновяване за премахване на предварително инсталираните ключове за достъп за поддръжка на OpsShield.
BleepingComputer се свърза с OpsShield, за да научи повече за атаката, и говорител ни сподели, че инцидентът е засегнал близо три хиляди сървъра.
„Установихме, че 2946 сървъра са били засегнати и споменатата информация е била копирана, като базата данни на нашата система за фактуриране също е била копирана. Работим по блокирането на целия достъп, възстановяването на засегнатите системи и подготовката на публично съобщение във възможно най-кратък срок“, заяви представителят на компанията.
Компанията също така съветва клиентите да следват инструкциите и да обновят cPGuard до версия 5.88.25 или по-нова, както и да нулират или подменят идентификационните данни, които може да са били изложени на риск на потенциално компрометираните сървъри.