cPGuard взломан: хакеры внедрили бэкдор через систему обновлений

Компания OpsShield, разработчик популярного решения для веб-безопасности cPGuard, столкнулась с серьезной кибератакой на свою инфраструктуру обновлений. Злоумышленники смогли получить несанкционированный доступ к сети доставки контента (CDN) компании и распространить вредоносный скрипт через официальный канал обновлений.

Кратко о происшествии - Атака началась 2 ноября в 02:06 по всемирному координированному времени (UTC). - Затронуты версии cPGuard с 5.88.12 по 5.88.19. - Вредоносное распространение было остановлено разработчиком в течение 12 часов. - Инцидент затронул почти три тысячи серверов по всему миру.

Детали атаки и масштаб заражения По данным OpsShield, злоумышленник использовал легитимные учетные данные для получения первоначального доступа к инфраструктуре обновлений, хотя точный вектор их компроментации пока остается не до конца выясненным. Вредоносное ПО загружало конфиденциальные данные с зараженных машин обратно на лицензионный сервер компании через скомпрометированный аккаунт, который хакеры использовали для сбора информации. В ходе расследования выяснилось, что с каждого пострадавшего сервера было похищено по 32 файла. Кроме того, злоумышленники скопировали базу данных биллинговой системы OpsShield. Представители компании подтвердили, что от атаки пострадали 2946 серверов, использующих уязвимые версии защитного решения.

Что делать системным администраторам Администраторам серверов и хостинг-провайдерам настоятельно рекомендуется обновить все экземпляры cPGuard до версии 5.88.25 или более поздней. Обновление автоматически удаляет установленный бэкдор и временные файлы, созданные злоумышленниками. Тем не менее, поскольку учетные данные могли быть скомпрометированы, специалисты советуют в срочном порядке сменить пароли, обновить ключи SSH, учетные данные баз данных и облачные секреты, а также аннулировать потенциально утекшие доступы.