Злоумышленник взломал обновления cPGuard и заразил Linux-серверы бэкдором
Злоумышленник взломал систему обновлений инструмента безопасности cPGuard и 2 ноября разослал клиентам вредоносный скрипт. Он устанавливал бэкдор и собирал хеши паролей, файлы /etc/shadow и /etc/passwd, а также другие чувствительные данные с Linux-серверов.
Главное в цифрах
- Заражённые версии cPGuard: с 5.88.12 по 5.88.19
- Версия, удаляющая бэкдор: 5.88.25 и новее
- Файлов, украденных с лицензионного сервера: 32
- Дата взлома системы обновлений: 2 ноября
Производитель OPSSHIELD сообщил, что злоумышленник проник в систему обновлений cPGuard 2 ноября и разослал вредоносный скрипт. Заражёнными оказались версии с 5.88.12 по 5.88.19. Атака была обнаружена в течение 12 часов после выпуска этих версий.
Скрипт устанавливал бэкдор и собирал конфигурацию MariaDB или MySQL, историю командной оболочки root, а также SSH-файлы авторизации и known-hosts для root. Часть данных злоумышленник уже забрал: он скачал 32 файла с лицензионного сервера OPSSHIELD, каждый из которых связан с одним клиентским сервером. Скрипт загружал собранное на этот сервер через скомпрометированную учётную запись, которую компания уже закрыла.
Что делать администраторам
Версия 5.88.25 и новее удаляет бэкдор и файлы, которые оставил скрипт. Однако скопированные учётные данные могут остаться действительными, поэтому на серверах, где скрипт мог работать, нужно сменить пароли и ключи. Полную переустановку ОС OPSSHIELD пока рекомендовать не стал.
Проверить сервер можно по журналу установки: команда grep 'Successfully updated' /opt/cpguard/logs/install_log покажет записи об установке версий с 5.88.12 по 5.88.19. Такая запись означает только установку заражённого обновления, но не доказывает, что скрипт запускался или что данные были украдены. Серверы без таких записей или с отсутствующим журналом тоже могут быть затронуты, если сомнения остаются, компания советует обращаться в службу поддержки OPSSHIELD.
Отдельно OPSSHIELD выпускает профилактическое обновление, которое удаляет ключи доступа службы поддержки с серверов, где они были добавлены ранее. Компания не сообщила, была ли скомпрометирована закрытая часть этого ключа.
Масштаб неизвестен
OPSSHIELD не сообщил, сколько серверов установили заражённые версии. Серверы проверяют обновления с интервалами, поэтому часть из них могла не запустить скрипт. Компания также не нашла других вредоносных действий, но говорит, что этот вывод пока не окончательный.
