Secondo un avviso di OPSSHIELD, produttrice dello strumento di sicurezza, alle 02:06 UTC del 2 novembre un aggressore ha usato credenziali compromesse per accedere al sistema di aggiornamento di cPGuard. Il canale compromesso ha distribuito uno script malevolo con le versioni di cPGuard dalla 5.88.12 alla 5.88.19, potenzialmente interessando i server Linux sui quali erano state installate quelle versioni.

Lo script ha installato una backdoor e raccolto file tra cui gli hash delle password da /etc/shadow, i dettagli degli account da /etc/passwd, la configurazione di MariaDB o MySQL dell’utente root, la cronologia della shell e i file SSH di autorizzazione e degli host noti. Ha inviato i dati raccolti a un server di licenze di OPSSHIELD usando un account compromesso. L’azienda afferma che in seguito l’aggressore ha prelevato 32 file da quel server, ciascuno associato a un server cliente. Questa cifra riflette i file di cui è noto il prelievo e non stabilisce il numero totale di server potenzialmente interessati.

OPSSHIELD ha rilevato l’attacco entro 12 ore dalla pubblicazione delle versioni interessate, ha protetto le credenziali della propria infrastruttura e bloccato ulteriori distribuzioni dello script. L’azienda non ha dichiarato quanti server abbiano installato una versione interessata e sta ancora indagando su come l’aggressore abbia ottenuto le credenziali e su quali dati siano stati prelevati da ciascun server. Ha dichiarato di non aver rilevato finora altre attività malevole, precisando che le indagini sono ancora in corso.

Gli amministratori dovrebbero aggiornare tutti i server cPGuard eseguendo `cpgcli update --start`, quindi verificare con `cpgcli --version` che sia in esecuzione la versione 5.88.25 o successiva. OPSSHIELD afferma che queste versioni rimuovono la backdoor e i file lasciati dallo script. Tuttavia, un aggiornamento non dimostra che un server non sia mai stato compromesso e le credenziali copiate potrebbero essere ancora utilizzabili.

Per controllare i registri degli aggiornamenti, gli amministratori possono cercare con `grep 'Successfully updated' /opt/cpguard/logs/install_log`. Una voce relativa a una versione dalla 5.88.12 alla 5.88.19 significa che il server ha installato un aggiornamento interessato, ma non prova che lo script sia stato eseguito o che siano stati sottratti dati. Un registro assente, incompleto o apparentemente privo di problemi potrebbe non escludere l’esposizione; OPSSHIELD consiglia di contattare il supporto se lo stato del server non è certo.

Per i server sui quali lo script è stato eseguito o potrebbe esserlo stato, l’azienda raccomanda di reimpostare le credenziali dell’utente root e degli altri account locali protetti da password, operando da un ambiente di ripristino attendibile. Anche le password riutilizzate su altri sistemi dovrebbero essere modificate da un dispositivo attendibile. Gli amministratori dovrebbero ruotare le password dei database, le chiavi di accesso S3, i token di DigitalOcean e i segreti annotati nella cronologia della shell di root, nonché sostituire le chiavi private SSH conservate in /root/.ssh e rimuovere le vecchie chiavi pubbliche corrispondenti dai sistemi che si fidano di esse.

Al momento OPSSHIELD non raccomanda una reimpostazione completa di routine né la reinstallazione del sistema operativo, anche se afferma che le indicazioni potrebbero cambiare con il progredire delle indagini. Raccomanda una valutazione caso per caso dei sistemi che presentano altri segnali di compromissione o il cui stato non può essere confermato. L’azienda sta inoltre preparando un aggiornamento precauzionale separato per rimuovere dai server le proprie chiavi SSH di accesso al supporto, nei casi in cui i clienti avessero precedentemente abilitato questa funzionalità. Non ha dichiarato se la corrispondente chiave privata sia stata esposta.

Fonti: The Hacker News.