Атакуващ е компрометирал инфраструктурата за актуализации на cPGuard – защитен пакет за Linux сървъри за уеб хостинг – и е разпространил злонамерена актуализация към близо 3000 клиентски сървъра.
OPSShield, компанията зад защитния пакет, потвърди също, че атакуващият е изнесъл контактна информация на клиенти и хеширани пароли от сървъра за фактуриране и лицензиране на фирмата.
Как се развива атаката
Атакуващият качва фалшиви актуализации на cPGuard – версии от 5.88.12 до 5.88.19 – в хранилището за актуализации на OPSShield на 2 ноември 2026 г. между 02:04 и 02:09 UTC.
През следващите над 70 минути агентите на cPGuard инсталират фалшивата актуализация на около 2950 клиентски сървъра и я изпълняват с права на root.
Фалшивата актуализация е кратък скрипт, който събира чувствителни файлове и ги изпраща към сървър, контролиран от атакуващия. В по-ранен доклад за инцидента OPSShield съобщава, че този сървър е собственият лицензен сървър на OPSSHIELD, където откраднатата информация е съхранявана под компрометиран акаунт, за да бъде изтеглена по-късно от атакуващия.
Събраните и изнесени данни включват хешове на пароли, root SSH ключове, root паролата за MySQL (където я има), историята на командите на root (която може да съдържа въведени пароли и токени) и ключове за облачно хранилище.
„[Скриптът] е оставил и два артефакта: скрита root обвивка (shell) в /var/tmp/.cpg91511_sh с файлове в /var/tmp/.i93677/“, добавя компанията.
Според доклада на OPSShield, един ден преди компрометирането на инфраструктурата за актуализации атакуващият е сондирал портала за фактуриране на фирмата. Регистрирал е клиентски акаунт с фалшива самоличност, поръчал е безплатен пробен период на cPGuard и го е инсталирал, за да проучи как агентът комуникира с лицензната система.
Час и половина по-късно атакуващият изпраща специално изработени заявки към callback страниците на портала за фактуриране и броени минути след това получава възможност да изпълнява команди на сървъра за фактуриране и лицензиране. След това започва да събира записи на клиентски акаунти: име, фирма, пощенски адрес, имейл и bcrypt-хеширана парола на около 7900 клиенти.
„Атаки като тази стават все по-бързи и по-евтини за изпълнение. Атакуващите вече използват AI инструменти, за да търсят слаби места, да четат непознат код и да пишат собствени инструменти за часове вместо за седмици; скоростта на тази атака – от първото сондиране до фалшивата актуализация за около десет часа – го отразява“, отбелязва OPSShield.
Атакуващите са направили и копия на три от облачните сървъри на компанията.
Какво е направила OPSShield досега
OPSShield все още не е установила как атакуващият е получил ключа за достъп/актуализации, позволил му да качи фалшивите актуализации на cPGuard. Не е ясно и как е успял да изпълнява команди на сървъра за фактуриране и лицензиране.
„Логовете ни не записват точната заявка, която му е дала достъп, затова преглеждаме този код, коригирахме две възможни входни точки, които открихме, и проверяваме ред по ред свързаните компоненти на доставчици. Изключихме SSH, контролния панел, FTP, API токени и т.н.“, споделя компанията.
Разследването продължава. Междувременно OPSShield е прекъснала достъпа на атакуващия до всички системи, за които е известно, че са били засегнати.
Компанията е отнела откраднатия ключ за хранилището за актуализации заедно с всички токени за облачни API и ключове за достъп; премахнала е SSH ключа на атакуващия, клонираните сървъри и снимките (snapshots) от облачния си акаунт; и е включила по-силна защита при вход.
За клиентите е пусната чиста актуализация (v5.88.26), която премахва скритата root обвивка, поставена от злонамерената актуализация, а последваща актуализация премахва планираната задача i93677.
OPSShield е сменила и всеки SSH ключ и парола на собствените си сървъри, нулирала е всички сесии в портала за фактуриране и е сменила ключовете на системата за фактуриране и API ключовете за реселъри. Компанията преиздава всички двойки лицензни ключове на cPGuard, така че евентуални копия, притежавани от атакуващия, да станат безполезни.
Накрая възстановява сървърите за фактуриране, лицензиране и вътрешно управление от чисти образи с по-строги настройки на PHP и уеб защитната стена и пълно логване на заявките.
Какво трябва да направят клиентите?
Първо, трябва да проверят дали на сървърите им е инсталирана злонамерена версия на cPGuard. Ако е така, трябва:
- да обновят до версия 5.88.26 или по-нова, да потвърдят, че злонамерената планирана задача и root обвивката са премахнати, и да прегледат сървърите си за други признаци на неоторизирани промени: непознати потребители, SSH ключове, услуги и изходящи връзки и т.н.;
- да сменят паролите на root и на всички други локални Linux акаунти с парола от доверена среда за възстановяване;
- да сменят засегнатите пароли за бази данни, S3 ключове за достъп, DigitalOcean токени, както и пароли, API ключове или токени, записани в историята на командите на root, и всички ключове в /root/.s3cfg;
- да заменят частните SSH ключове, съхранявани в /root/.ssh, и да премахнат съответните стари публични ключове от всяка система, която им се доверява;
- да сменят паролата си за портала за фактуриране на OPSSHIELD (като предпазна мярка) и да включат двуфакторен вход.
Тъй като cPGuard проверява за актуализации на интервали, не всеки клиентски сървър е получил фалшивата актуализация. „Ако cPGuard не е бил онлайн през този прозорец, сървърът ви не е получил фалшивата актуализация“, заяви OPSShield.
На клиентите, с които се е свързала директно, за да потвърди, че атакуващият е влязъл ръчно в сървъра им, компанията препоръчва възстановяване на сървъра от чист архив, направен преди 1 ноември.
OPSShield е публикувала списък с индикатори за компрометиране, който включва и такива, открити на собствените ѝ сървъри, и се е ангажирала да помага на клиентите в процеса на отстраняване на последствията.
- кражба на данни
- Linux
- OPSShield
- компрометиране на веригата за доставки
- уеб хостинг