Invasores comprometeram a infraestrutura de atualização do cPGuard da OpsShield e a usaram para distribuir um backdoor e um script de roubo de dados, informou a empresa. O incidente começou em 2 de novembro de 2026, às 02:06 UTC, e afetou as versões de 5.88.12 a 5.88.19. A OpsShield afirmou que detectou a invasão e interrompeu a distribuição maliciosa em até 12 horas após o envio das atualizações comprometidas.
O invasor obteve acesso à rede de distribuição de conteúdo da empresa usando credenciais legítimas. A OpsShield ainda não determinou como essas credenciais foram obtidas. Servidores que verificaram atualizações durante o período afetado podem ter recebido um script projetado para coletar hashes de senhas do Linux, configurações de bancos de dados, histórico do shell do root e arquivos de autorização SSH e de hosts conhecidos.
As informações roubadas foram enviadas ao servidor de licenciamento da OpsShield por meio de uma conta comprometida. A empresa afirmou que sua investigação encontrou evidências de que o invasor obteve 32 arquivos de cada cliente, mas ainda não determinou quais informações foram coletadas de cada servidor. A OpsShield informou ao BleepingComputer que 2.946 servidores foram afetados e que o banco de dados do sistema de faturamento da empresa também foi copiado.
A OpsShield recomenda que os administradores atualizem o cPGuard para a versão 5.88.25 ou posterior, redefinam as senhas e troquem as credenciais de bancos de dados, os segredos de serviços em nuvem e as chaves SSH que possam ter sido expostos. O fornecedor afirma que a atualização remove o backdoor e os arquivos preparados, mas alerta que as credenciais potencialmente roubadas também devem ser invalidadas. A empresa planeja lançar outra atualização para remover as chaves de acesso de suporte da OpsShield instaladas anteriormente.
Fontes: BleepingComputer.