Angreifer schmuggelten schädliche cPGuard-Updates über OpsShields eigenen Update-Kanal ein

Wie SecurityWeek berichtete, traf es das indische IT-Sicherheitsunternehmen OpsShield am Montag. Nach Angaben in OpsShields Incident-Mitteilung verschafften sich die Angreifer mit kompromittierten Zugangsdaten Zugang zur Update-Infrastruktur des Unternehmens, einem CDN. Von dort schoben sie ein schädliches Skript über den Update-Kanal von cPGuard ein.

Betroffen waren die cPGuard-Versionen 5.88.12 bis 5.88.19. OpsShield gab an, den Supply-Chain-Angriff innerhalb von 12 Stunden entdeckt zu haben. Die gefälschten Updates seien etwa 70 Minuten lang verteilt worden. Das Unternehmen schätzt, dass 2.950 Server sie ausgeführt haben. In diesem Zeitfenster sind das etwa 42 Rechner pro Minute.

Wie die Angreifer hineinkamen

Laut dem Incident-Bericht von OpsShield griffen die Angreifer zuerst den Billing- und Lizenzserver des Unternehmens an. Sie legten ein Kundenkonto an und bestellten eine kostenlose cPGuard-Testversion. So beobachteten sie, wie das Produkt mit dem Lizenzsystem kommuniziert. Dann schickten sie manipulierte Anfragen an das Portal und erlangten Befehlsausführung auf diesem Server. Von dort luden sie mit einem gestohlenen Zugriffsschlüssel ein gefälschtes cPGuard-Update hoch.

Dem Bericht zufolge kopierten die Angreifer außerdem drei Cloud-Server von OpsShield. Das schädliche Skript sammelte Daten und lud sie unter einem kompromittierten Konto auf den Lizenzserver von OpsShield.

Was das schädliche Update tat

Das Update lief als root auf den Servern, die während des Kompromittierungszeitraums die Update-Infrastruktur von OpsShield abfragten, heißt es in der Mitteilung. Root ist die höchste Berechtigungsstufe auf einem Linux-Server. cPGuard, das bekannteste Produkt von OpsShield, ist für Linux-Webhosting-Server gedacht. Bei den betroffenen Rechnern handelte es sich also um Hosting-Server. Dort reichen root-Rechte bis auf die gehosteten Websites und Daten.

Das Skript hinterließ außerdem eine versteckte root-Shell und Dateien im Temp-Ordner der Kundenrechner. OpsShield zufolge holten die Angreifer 32 gesammelte Dateien ab, jede von einem anderen Kundenserver. Sie kopierten rund 7.900 Kundendatensätze mit Namen, Firma, Adressen, E-Mails und gehashten Passwörtern.

Was Kunden tun sollten

OpsShield riet Kunden, alle Passwort-Hashes, root-SSH-Schlüssel und MySQL-root-Passwörter als kompromittiert zu behandeln und sie zu wechseln. Das gilt auch für die Shell-Historie auf den infizierten Kundenservern. Außerdem sollten Kunden ihr Passwort für das Billing-Portal zurücksetzen.

Server, auf denen cPGuard während des Zeitfensters nicht lief, erhielten das gefälschte Update nicht. "Trotzdem sollten Sie Ihr Passwort für das Billing-Portal zurücksetzen", heißt es in der Mitteilung.

Zur Erkennung veröffentlichte OpsShield Indicators of Compromise. Ab cPGuard 5.88.25 entfernt das Unternehmen zufolge die versteckte root-Shell und die zusätzlichen Dateien, die das Skript hinterlassen hat. Kunden sollten ihre cPGuard-Version prüfen und nach den IoCs suchen.

Bereinigung und Behebung

OpsShield gab an, die Angreifer von allen Servern entfernt zu haben, die sie berührt haben könnten. Das Unternehmen setzte die Secrets seines Kontos zurück, entfernte den SSH-Schlüssel der Angreifer und geklonte Assets aus seinem Cloud-Konto und ersetzte alle SSH-Schlüssel und Passwörter auf seinen Servern.

Es begann, alle privaten und öffentlichen Schlüssel der cPGuard-Lizenzen neu auszugeben, da die Angreifer sie kompromittiert hatten. Es setzte alle Login-Sitzungen des Billing-Portals zurück, wechselte die zugehörigen API-Schlüssel und baut seine Billing-, Lizenz- und internen Verwaltungsserver neu auf.

"Angriffe wie dieser werden immer schneller und billiger auszuführen. Unsere Antwort ist, zuerst unseren eigenen Update- und Signaturprozess zu härten und dann das, was wir hier gelernt haben, direkt in cPGuard für Sie einfließen zu lassen", heißt es in der Mitteilung.