Aller au contenu
Heure mondialeEU--:--UK--:--USA--:--CN--:--PLDEFRIT中文EN

portail sur l'IA et la technologieactualités · analyses · entretiens · fond technique

Rechercher
EN DIRECT
AnalyseIrlande : le groupe de pilotage sur les salaires reçoit les deux parties après le rejet de l'offre de 7,75 %06.11AnalyseRégulation de l'IA en Inde : le document de consultation attendu « dans les prochaines semaines »06.11AnalyseCumulus Media sort du chapitre 11 avec 550 millions de dollars de dette en moins06.11AnalyseL'European Leagues étend sa plainte à la Commission européenne au calendrier féminin06.11AnalyseAffrontements entre black blocs et policiers à Lyon lors de la quatrième grève de l'automne en France06.11ExpliquéPerseverance bat le record de conduite hors Terre avec 28,10 miles06.11AnalyseLa tour Eiffel fermée aux visiteurs pendant la grève nationale en France06.11AnalyseLe programme de bons INFUSE du DOE s'ouvre aux consortiums de laboratoires et aux revues de conception des usines pilotes06.11AnalyseSkydance nomme deux co-directeurs de la distribution mondiale et annonce huit départs06.11AnalyseTrump veut une signature en novembre de l'accord douanier entre la Thaïlande et les États-Unis06.11
›

Des attaquants ont diffusé de fausses mises à jour cPGuard via le canal d'OpsShield

OpsShield a été victime lundi d'une attaque par la chaîne d'approvisionnement : de fausses mises à jour cPGuard ont été servies par le canal de mise à jour du produit lui-même. L'entreprise estime que 2 950 serveurs les ont exécutées en root.

Sophie LeclercSophie LeclercIA, modèles et technologies
TechnologieExpliquéSophie LeclercPublié le: 5 novembre 20264 min de lectureSources 28
Des attaquants ont diffusé de fausses mises à jour cPGuard via le canal d'OpsShield

SecurityWeek rapporte qu'OpsShield, société indienne de sécurité informatique, a été frappée lundi. Selon l'avis d'incident de l'entreprise, les attaquants ont utilisé des identifiants compromis pour accéder à l'infrastructure de distribution des mises à jour, un CDN, et ont poussé un script malveillant via le canal de mise à jour de cPGuard.

Les versions concernées vont de cPGuard 5.88.12 à 5.88.19. OpsShield indique avoir découvert l'attaque en moins de 12 heures et que les fausses mises à jour ont été distribuées pendant environ 70 minutes. L'entreprise estime que 2 950 serveurs les ont exécutées, soit environ 42 machines par minute sur cette période.

Comment les attaquants sont entrés

Le rapport d'incident d'OpsShield précise que les attaquants ont d'abord visé son serveur de facturation et de licences. Ils ont créé un compte client et commandé un essai gratuit de cPGuard pour étudier la façon dont le produit communiquait avec le système de licences. Ils ont ensuite envoyé des requêtes forgées au portail et obtenu l'exécution de commandes sur ce serveur. De là, ils ont téléversé une fausse mise à jour cPGuard à l'aide d'une clé d'accès volée.

Le rapport indique que les attaquants ont aussi copié trois serveurs cloud d'OpsShield. Le script malveillant collectait des données et les téléversait sur le serveur de licences d'OpsShield sous un compte compromis.

Ce que faisait la mise à jour malveillante

La mise à jour s'exécutait en root sur les serveurs qui interrogeaient l'infrastructure de mise à jour d'OpsShield pendant la fenêtre de compromission, selon l'avis. Root est le niveau de privilège le plus élevé sur un serveur Linux. cPGuard, le produit le plus connu d'OpsShield, est conçu pour les serveurs d'hébergement web Linux. Les machines compromises étaient donc des serveurs d'hébergement, où le contrôle root s'étend aux sites et aux données hébergés.

Le script a également laissé un shell root caché et des fichiers dans le dossier temporaire des machines des clients. OpsShield indique que les attaquants ont récupéré 32 fichiers collectés, chacun provenant d'un serveur client différent, et copié environ 7 900 enregistrements de comptes clients contenant noms, entreprises, adresses, e-mails et mots de passe hachés.

Ce que les clients doivent faire

OpsShield a demandé aux clients de considérer tous les hachages de mots de passe, les clés SSH root et les mots de passe root MySQL comme compromis et de les renouveler, ainsi que l'historique des shells sur les serveurs clients infectés. L'entreprise demande aussi aux clients de réinitialiser le mot de passe de leur portail de facturation.

OpsShield précise que les serveurs dont cPGuard n'était pas en ligne pendant la fenêtre n'ont pas reçu la fausse mise à jour. « Vous devez tout de même réinitialiser le mot de passe de votre portail de facturation », indique l'entreprise dans son avis.

Pour la détection, OpsShield a publié des indicateurs de compromission. L'entreprise indique que cPGuard 5.88.25 et les versions suivantes suppriment le shell root caché et les fichiers supplémentaires laissés par le script. Les clients doivent vérifier leur version de cPGuard et rechercher les IoC.

Nettoyage et correction

OpsShield affirme avoir expulsé les attaquants de tous les serveurs qu'ils ont pu toucher. L'entreprise a réinitialisé les secrets de son compte, supprimé la clé SSH de l'attaquant et les ressources clonées de son compte cloud, et remplacé toutes les clés SSH et tous les mots de passe de ses serveurs.

Elle a commencé à réémettre toutes les clés privées et publiques de licence cPGuard, car les attaquants les ont compromises. Elle a réinitialisé toutes les sessions de connexion au portail de facturation, renouvelé les clés API associées et reconstruit ses serveurs de facturation, de licences et de gestion interne.

« Les attaques comme celle-ci sont de plus en plus rapides et de moins en moins chères à mener. Notre réponse est de durcir d'abord notre propre processus de mise à jour et de signature, puis de réinjecter directement dans cPGuard ce que nous avons appris ici », indique l'entreprise dans son avis.

Commentaires 0

Sources

28
  1. 01Malicious cPGuard Updates Served in OpsShield Supply Chain AttackEN
  2. 02Attackers turn GitHub issues into supply chain campaign against 61 public repos in less than an hourEN
  3. 03Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as RootEN
  4. 04Chainstack Reports Production Systems Breach Exposing Customer Data and Password HashesEN
  5. 05GM is recalling more than 67,000 Cadillac and Chevy EVs over a brake software defectEN
  6. 06Hackers stole DreamHost customer files and inboxes during months-long attackEN
  7. 07 Putin demands Russian data centers supply capacity to the state in wake of Ukraine drone attacks EN
  8. 08heise-Angebot: OOP Focus Day nächste Woche: KI in der Software-EntwicklungEN
  9. 09Binance attackers used fake job interviews to pull off $6.3 billion crypto heistEN
  10. 10Synopsys to Offer EDA Software Through European Chips Design PlatformEN
  11. 11CISA flags WordPress RCE flaw as actively exploited in attacksEN
  12. 12Critical Rails Flaw Lets Attackers Write Server Files via Crafted ImageMagick UploadsEN
  13. 13Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root AccessEN
  14. 14Hackers use n-day exploits in zero-click attacks on iOS, Android devicesEN
  15. 15The Binance hack, which occurred last month, was investigated as an attack prepared in stages by a N.. - 매일경제EN
  16. 16Google: LLMjacking attacks rack up $1 million in cloud AI chargesEN
  17. 17Google Warns LLMjacking Attacks Are Costing Some Enterprises Up to $1 Million in Cloud ChargesEN
  18. 18Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM FlawEN
  19. 19Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root AccessEN
  20. 20Scientists use sound waves to deliver a new attack on deadly brain cancerEN
  21. 21Elon Musk’s Attack Ads Are Backfiring As Midterms NearEN
  22. 22Cyber Attack on Supermarket Freezers Targets Control SystemsEN
  23. 23Attackers Exploit Critical Siemens IoT2050 Flaw to Plant Remote Command BackdoorsEN
  24. 24Critical Langflow Flaws Could Let Unauthenticated Attackers Run Code on ServersEN
  25. 25Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company DataEN
  26. 26CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private KeyEN
  27. 27Chainalysis Confirms Intrusion Into Internal Tools and Exposure of Customer Identity DataEN
  28. 28A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private ChatsEN

Tous les chiffres et citations de ce texte proviennent des sources citées ci-dessous.

Les contenus ont été préparés par l'équipe de rédaction, assistée par l'IA.

Sophie Leclerc

Sophie Leclerc

IA, modèles et technologies

Sophie Leclerc couvre les technologies, l'IA et les modèles ainsi que les médias et l'internet pour FLASH24, en travaillant à partir des dépôts de code, des articles scientifiques et des documents techniques plutôt que des annonces. Elle vérifie chaque chiffre en remontant aux jeux de données d'origine et en comparant les versions successives des modèles. Elle interroge régulièrement des ingénieurs et des chercheurs, et suit les calendriers de publication des principales conférences du secteur. Son intérêt personnel pour l'auto-hébergement et les réseaux domestiques nourrit directement sa couverture des infrastructures et des modèles ouverts. Elle ne publie pas de performance annoncée sans méthode de mesure vérifiable.

Rédaction →

Commentaires

0
  1. Aucun commentaire — soyez le premier.

Écrire un commentaire

Les commentaires sont publics. Nous ne publions ni insultes, ni spam, ni publicité.

Article précédentIntel Foundry place le packaging avancé parmi les principaux freins à la montée en charge de l'IAArticle suivantL'UE ouvre une plateforme de conception de puces à 525 m€, avec les outils Synopsys dès le lancement