Gli aggressori hanno compromesso l’infrastruttura di aggiornamento di cPGuard di OpsShield e l’hanno usata per distribuire una backdoor e uno script per il furto di dati, ha dichiarato l’azienda. L’incidente è iniziato il 2 novembre 2026 alle 02:06 UTC e ha interessato le versioni dalla 5.88.12 alla 5.88.19. OpsShield ha dichiarato di aver rilevato l’intrusione e interrotto la distribuzione dannosa entro 12 ore dalla diffusione degli aggiornamenti compromessi.
L’aggressore ha ottenuto l’accesso alla rete di distribuzione dei contenuti dell’azienda usando credenziali legittime. OpsShield non ha determinato come siano state ottenute tali credenziali. I server che hanno verificato la disponibilità di aggiornamenti durante il periodo interessato potrebbero aver ricevuto uno script progettato per raccogliere hash delle password Linux, configurazioni di database, cronologia della shell di root e file di autorizzazione SSH e degli host conosciuti.
Le informazioni sottratte sono state caricate sul server delle licenze di OpsShield tramite un account compromesso. L’azienda ha dichiarato che la sua indagine ha rilevato prove del fatto che l’aggressore abbia recuperato 32 file da ciascun cliente, ma non è riuscita a stabilire quali informazioni siano state raccolte da ogni server. OpsShield ha riferito a BleepingComputer che sono stati interessati 2.946 server e che è stato copiato anche il database del sistema di fatturazione dell’azienda.
OpsShield consiglia agli amministratori di aggiornare cPGuard alla versione 5.88.25 o successiva, reimpostare le password e sostituire le credenziali dei database, i segreti cloud e le chiavi SSH che potrebbero essere stati esposti. Il fornitore afferma che l’aggiornamento rimuove la backdoor e i file predisposti, ma avverte che devono essere invalidate anche le credenziali potenzialmente sottratte. L’azienda prevede di rilasciare un ulteriore aggiornamento per rimuovere le chiavi di accesso al supporto di OpsShield installate in precedenza.
Fonti: BleepingComputer.