Ein Angreifer nutzte kompromittierte Zugangsdaten, um am 2. November um 02:06 UTC auf das cPGuard-Updatesystem zuzugreifen, heißt es in einer Sicherheitsmitteilung von OPSSHIELD, dem Hersteller des Sicherheitstools. Über den kompromittierten Kanal wurde mit den cPGuard-Versionen 5.88.12 bis 5.88.19 ein schädliches Skript verbreitet. Betroffen sein könnten Linux-Server, auf denen diese Versionen installiert wurden.

Das Skript installierte eine Hintertür und sammelte Dateien, darunter Passwort-Hashes aus /etc/shadow, Kontodaten aus /etc/passwd, die MariaDB- oder MySQL-Konfiguration von root, den Shell-Verlauf sowie SSH-Dateien für autorisierte Schlüssel und bekannte Hosts. Es übermittelte die gesammelten Daten über ein kompromittiertes Konto an einen OPSSHIELD-Lizenzserver. Das Unternehmen erklärte, der Angreifer habe später 32 Dateien von diesem Server entwendet, die jeweils einem Kundenserver zugeordnet waren. Diese Zahl bezieht sich auf die nachweislich entwendeten Dateien und belegt nicht die Gesamtzahl der möglicherweise betroffenen Server.

OPSSHIELD entdeckte den Angriff innerhalb von 12 Stunden nach der Veröffentlichung der betroffenen Versionen, sicherte die Zugangsdaten für seine Infrastruktur und unterband die weitere Verbreitung des Skripts. Das Unternehmen hat nicht mitgeteilt, wie viele Server eine betroffene Version installiert hatten. Es untersucht weiterhin, wie der Angreifer an die Zugangsdaten gelangte und welche Daten von den einzelnen Servern entwendet wurden. Nach Angaben des Unternehmens wurden bislang keine weiteren bösartigen Aktivitäten festgestellt; die Untersuchung dauert jedoch an.

Administratoren sollten alle cPGuard-Server aktualisieren, indem sie `cpgcli update --start` ausführen. Anschließend sollten sie mit `cpgcli --version` überprüfen, ob Version 5.88.25 oder höher läuft. OPSSHIELD zufolge entfernen diese Versionen die Hintertür und die vom Skript hinterlassenen Dateien. Ein Update belegt jedoch nicht, dass ein Server nie kompromittiert war, und kopierte Zugangsdaten könnten weiterhin gültig sein.

Um die Update-Protokolle zu prüfen, können Administratoren mit `grep 'Successfully updated' /opt/cpguard/logs/install_log` suchen. Ein Eintrag für eine Version zwischen 5.88.12 und 5.88.19 bedeutet, dass der Server ein betroffenes Update installiert hat; er beweist jedoch weder, dass das Skript ausgeführt wurde, noch, dass Daten entwendet wurden. Ein fehlender, unvollständiger oder unauffälliger Protokolleintrag schließt eine mögliche Betroffenheit nicht unbedingt aus. OPSSHIELD rät dazu, den Support zu kontaktieren, wenn der Status des Servers unklar ist.

Bei Servern, auf denen das Skript ausgeführt wurde oder ausgeführt worden sein könnte, empfiehlt das Unternehmen, die Zugangsdaten für root und andere lokale Konten mit passwortbasierter Anmeldung aus einer vertrauenswürdigen Wiederherstellungsumgebung zurückzusetzen. Passwörter, die auf anderen Systemen wiederverwendet wurden, sollten ebenfalls von einem vertrauenswürdigen Gerät aus geändert werden. Administratoren sollten Datenbankpasswörter, S3-Zugriffsschlüssel, DigitalOcean-Tokens und Geheimnisse erneuern, die im Shell-Verlauf von root gespeichert sind. Außerdem sollten sie private SSH-Schlüssel unter /root/.ssh ersetzen und die dazugehörigen alten öffentlichen Schlüssel von Systemen entfernen, die diesen Schlüsseln vertrauen.

OPSSHIELD empfiehlt derzeit weder routinemäßig ein vollständiges Zurücksetzen noch eine Neuinstallation des Betriebssystems. Das Unternehmen erklärt jedoch, dass sich diese Empfehlung im Verlauf der Untersuchung ändern könnte. Für Systeme mit weiteren Anzeichen einer Kompromittierung oder mit unklarem Status empfiehlt es eine Einzelfallprüfung. Außerdem bereitet das Unternehmen ein separates vorsorgliches Update vor, das SSH-Schlüssel für den Supportzugriff von Servern entfernt, auf denen Kunden diese Funktion zuvor aktiviert hatten. Ob der dazugehörige private Schlüssel offengelegt wurde, hat das Unternehmen nicht mitgeteilt.

Quellen: The Hacker News.