Angreifer kompromittierten die cPGuard-Update-Infrastruktur von OpsShield und nutzten sie, um eine Backdoor und ein Skript zum Datendiebstahl zu verbreiten, wie das Unternehmen mitteilte. Der Vorfall begann am 2. November 2026 um 02:06 UTC und betraf die Versionen 5.88.12 bis 5.88.19. OpsShield zufolge erkannte das Unternehmen den Eindringversuch und stoppte die Verbreitung der Schadsoftware innerhalb von 12 Stunden, nachdem die kompromittierten Updates bereitgestellt worden waren.
Der Angreifer verschaffte sich mit legitimen Zugangsdaten Zugriff auf das Content Delivery Network des Unternehmens. OpsShield konnte bislang nicht feststellen, wie diese Zugangsdaten erlangt wurden. Server, die im betroffenen Zeitraum nach Updates suchten, könnten ein Skript erhalten haben, das Linux-Passworthashes, Datenbankkonfigurationen, den Verlauf der Root-Shell sowie SSH-Autorisierungsdateien und Dateien mit bekannten Hosts sammeln sollte.
Die gestohlenen Informationen wurden über ein kompromittiertes Konto auf den Lizenzierungsserver von OpsShield hochgeladen. Das Unternehmen teilte mit, seine Untersuchung habe Belege dafür ergeben, dass der Angreifer von jedem Kunden 32 Dateien abgerufen habe. Es sei jedoch nicht geklärt, welche Informationen auf jedem einzelnen Server gesammelt wurden. OpsShield teilte BleepingComputer mit, dass 2.946 Server betroffen waren und auch die Datenbank des Abrechnungssystems kopiert wurde.
OpsShield empfiehlt Administratoren, cPGuard auf Version 5.88.25 oder höher zu aktualisieren, Passwörter zurückzusetzen und Datenbankzugangsdaten, Cloud-Secrets sowie SSH-Schlüssel zu erneuern, die möglicherweise offengelegt wurden. Dem Anbieter zufolge entfernt das Update die Backdoor und die bereitgestellten Dateien. Er warnt jedoch, dass möglicherweise gestohlene Zugangsdaten ebenfalls ungültig gemacht werden müssen. Das Unternehmen plant, ein weiteres Update bereitzustellen, das zuvor installierte OpsShield-Schlüssel für den Support-Zugriff entfernt.
Quellen: BleepingComputer.