Злоумышленник проник в систему обновлений инструмента безопасности cPGuard 2 ноября и использовал ее для отправки вредоносного скрипта на серверы клиентов под управлением Linux.
Как говорится в уведомлении от разработчика cPGuard компании OPSSHIELD, скрипт установил бэкдор и собирал хеши паролей и другие конфиденциальные файлы с серверов, на которых он был запущен. Злоумышленник уже успел получить часть этих данных.
Версии cPGuard 5.88.25 и более поздние удаляют бэкдор и файлы, оставленные скриптом. Однако учетные данные, скопированные скриптом, могут по-прежнему работать после обновления, поэтому любой сервер, на котором мог быть запущен скрипт, также нуждается в смене паролей и ключей.
В 02:06 UTC злоумышленник, личность которого не установлена, использовал скомпрометированные учетные данные для доступа к системе обновлений cPGuard. Скрипт распространялся с версиями cPGuard от 5.88.12 до 5.88.19.
По данным OPSSHIELD, атака была обнаружена в течение 12 часов после выпуска этих версий. Компания очистила учетные данные своей инфраструктуры и предотвратила дальнейшее распространение скрипта на серверы. Расследование того, как злоумышленник получил учетные данные, продолжается.
OPSSHIELD не уточнила, сколько серверов установили одну из этих версий. Серверы проверяют наличие обновлений с определенными интервалами, поэтому некоторые могли не запустить скрипт.
Администраторы могут проверить, установил ли сервер затронутую версию, выполнив поиск в журнале обновлений:
grep 'Successfully updated' /opt/cpguard/logs/install_log
Запись о любой версии от 5.88.12 до 5.88.19 означает, что сервер установил затронутое обновление. Сама по себе запись не указывает на то, что скрипт был запущен или что данные покинули сервер. Сервер по-прежнему следует рассматривать как потенциально скомпрометированный, даже если на нем теперь установлена версия 5.88.25 или новее.
Сервер без соответствующих записей, или с отсутствующим или неполным журналом, мог все же запустить скрипт. Администраторы, не уверенные в ситуации, могут обратиться в службу поддержки OPSSHIELD.
OPSSHIELD обнаружила, что скрипт собирал следующие типы данных: файлы /etc/shadow и /etc/passwd, конфигурацию MariaDB или MySQL для root (my.cnf), историю командной строки root, а также файлы авторизации и известные хосты SSH для root. Возможно, не все файлы были собраны с каждого сервера, и компания все еще выясняет, что именно было извлечено с каждого из них.
Файл /etc/shadow хранит односторонние хеши паролей. Слабые, распространенные или ранее утекшие пароли могут быть восстановлены из этих хешей путем офлайн-подбора, и даже надежные пароли требуют сброса. Секреты, которые могут храниться в конфигурации базы данных или истории команд, не имеют такого хеширования для защиты.
Скрипт загружал собранные данные на лицензионный сервер, управляемый самой OPSSHIELD, используя скомпрометированную учетную запись, чтобы злоумышленник мог получить их позже. OPSSHIELD с тех пор обезопасила эту учетную запись.
По оценкам OPSSHIELD, сделанным поздно вечером 2 ноября по UTC, злоумышленник забрал с этого сервера 32 файла, каждый из которых связан с одним клиентским сервером. Это число охватывает только файлы, о которых известно, что они были взяты, и может измениться. Оно не отражает общее количество затронутых серверов.
Помимо сбора данных и установки бэкдора, OPSSHIELD пока не обнаружила никакой другой вредоносной активности, хотя этот вывод не является окончательным.
OPSSHIELD просит администраторов немедленно обновить все серверы cPGuard и подтвердить версию:
Администраторам также следует предпринять следующие шаги для любого сервера, на котором скрипт был запущен или мог быть запущен:
OPSSHIELD не рекомендует полную переустановку или пересборку операционной системы в качестве стандартной меры, и отмечает, что эта точка зрения может измениться по мере продолжения расследования. Администраторам, обнаружившим другие признаки компрометации или не имеющим возможности подтвердить чистоту сервера, следует обратиться в службу поддержки OPSSHIELD для индивидуального рассмотрения случая, которое может привести к пересборке.
Отдельно OPSSHIELD выпускает еще одно обновление в качестве меры предосторожности, которое удаляет ключи доступа поддержки из серверов cPGuard, где они были добавлены ранее.
Доступ для поддержки — это функция cPGuard, которую клиенты используют, чтобы разрешить сотрудникам OPSSHIELD доступ к серверу для устранения неполадок. Предоставление такого доступа добавляет публичный SSH-ключ OPSSHIELD в файл authorized_keys для root, согласно документации компании.
OPSSHIELD не сообщила, был ли скомпрометирован закрытый ключ, соответствующий ее ключу доступа поддержки, в ходе атаки.
OPSSHIELD опубликовала эти имена файлов. Обновление удаляет бэкдор-шелл и каталог сбора данных, поэтому их отсутствие после обновления ничего не говорит о том, был ли запущен скрипт.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
