Los atacantes comprometieron la infraestructura de actualización de cPGuard de OpsShield y la utilizaron para distribuir una puerta trasera y un script destinado a robar datos, según informó la empresa. El incidente comenzó el 2 de noviembre de 2026 a las 02:06 UTC y afectó a las versiones 5.88.12 a 5.88.19. OpsShield afirmó que detectó la intrusión y detuvo la distribución maliciosa dentro de las 12 horas posteriores al envío de las actualizaciones comprometidas.
El atacante obtuvo acceso a la red de distribución de contenidos de la empresa mediante credenciales legítimas. OpsShield aún no ha determinado cómo se obtuvieron esas credenciales. Los servidores que buscaron actualizaciones durante el periodo afectado podrían haber recibido un script diseñado para recopilar hashes de contraseñas de Linux, configuraciones de bases de datos, el historial del shell de root y archivos de autorización de SSH y de hosts conocidos.
La información robada se subió al servidor de licencias de OpsShield a través de una cuenta comprometida. La empresa afirmó que su investigación encontró pruebas de que el atacante extrajo 32 archivos de cada cliente, pero no ha establecido qué información se recopiló de cada servidor. OpsShield dijo a BleepingComputer que se vieron afectados 2.946 servidores y que también se copió la base de datos de su sistema de facturación.
OpsShield recomienda a los administradores actualizar cPGuard a la versión 5.88.25 o posterior, restablecer las contraseñas y cambiar las credenciales de bases de datos, los secretos de servicios en la nube y las claves SSH que podrían haberse expuesto. El proveedor afirma que la actualización elimina la puerta trasera y los archivos preparados, pero advierte que también deben invalidarse las credenciales que podrían haber sido robadas. Tiene previsto publicar otra actualización para eliminar las claves de acceso de soporte de OpsShield instaladas anteriormente.
Fuentes: BleepingComputer.