Взлом обновлений cPGuard затронул Linux-серверы клиентов
OPSSHIELD сообщила о компрометации системы обновлений инструмента защиты cPGuard: 2 ноября злоумышленник распространил вредоносный скрипт в версиях 5.88.12–5.88.19. Скрипт устанавливал бэкдор и собирал с Linux-серверов хэши паролей, SSH-файлы, настройки MySQL или MariaDB и историю команд root. Компания выпустила cPGuard 5.88.25 и более новые версии для удаления оставленных файлов, однако скомпрометированные секреты необходимо заменить отдельно.
Как развивалась атака
По информации OPSSHIELD, в 02:06 UTC атакующий применил скомпрометированные учётные данные для доступа к инфраструктуре обновлений. Личность злоумышленника не установлена, а способ получения этих данных продолжает расследоваться.
Вредоносный скрипт загружал собранные данные на лицензионный сервер самой OPSSHIELD через захваченную учётную запись. Позднее этот аккаунт был защищён. К концу 2 ноября UTC компания оценила, что атакующий забрал 32 файла, каждый из которых был связан с отдельным сервером клиента. Это число отражает только известные скачанные файлы, а не общее количество потенциально затронутых машин.
OPSSHIELD обнаружила инцидент менее чем через 12 часов после публикации уязвимых обновлений, отозвала инфраструктурные учётные данные и остановила дальнейшую доставку скрипта. Компания пока не сообщила, сколько серверов успели установить затронутые версии: проверка обновлений выполняется с интервалами, поэтому распространение не обязательно привело к запуску скрипта на каждой машине.
Какие данные могли попасть к атакующему
Среди целей были файлы /etc/shadow и /etc/passwd, конфигурация root для MariaDB или MySQL, история shell root, а также SSH-файлы авторизации и известных хостов. Хэши из /etc/shadow не содержат пароль в открытом виде, но слабые, распространённые или уже утёкшие пароли могут быть подобраны офлайн. Секреты из конфигураций баз данных и истории команд такой защиты не имеют.
Скрипт оставлял файл cpguard-v58812-i91511.sh, бэкдор /var/tmp/.cpg91511_sh и каталог /var/tmp/.cpg91511 с архивом loot.tgz. Их отсутствие после обновления не доказывает, что сервер не был затронут: исправление удаляет эти артефакты. Риски Linux-инфраструктуры понятнее, когда Linux-руткиты и проверка следов компрометации показывает, почему индикаторы компрометации нужно проверять вместе с учётными данными и журналами.
Что проверить администраторам
Для поиска установки уязвимой версии OPSSHIELD предлагает проверить журнал командой grep 'Successfully updated' /opt/cpguard/logs/install_log. Запись о любой версии от 5.88.12 до 5.88.19 означает, что обновление было установлено, но сама по себе не подтверждает запуск скрипта или утечку данных. Отсутствующий либо неполный журнал также не исключает риск.
Компания рекомендует на каждом сервере запустить cpgcli update --start, затем убедиться командой cpgcli --version, что установлена версия 5.88.25 или новее. На серверах, где скрипт мог выполниться, следует из доверенной среды сбросить пароли root и локальных пользователей, заменить повторно использованные пароли, сменить пароли баз данных, ключи S3, токены DigitalOcean и другие секреты из истории shell.
Также нужно заменить закрытые SSH-ключи из /root/.ssh и удалить соответствующие старые открытые ключи со всех доверяющих им систем. OPSSHIELD не считает штатной мерой полную переустановку ОС, но допускает индивидуальную оценку и возможную перестройку сервера при иных признаках компрометации. Для бизнеса практический вывод состоит в том, что обновление устраняет артефакты, но не отменяет ротацию всех потенциально раскрытых учётных данных и ключей.