Attaccanti hanno diffuso aggiornamenti cPGuard malevoli dal canale di OpsShield

SecurityWeek ha riferito che OpsShield, azienda indiana di sicurezza informatica, è stata colpita lunedì. Secondo l'avviso di incidente diffuso dall'azienda, gli attaccanti hanno usato credenziali compromesse per entrare nell'infrastruttura che distribuisce gli aggiornamenti, una CDN, e da lì hanno spinto uno script malevolo nel canale di aggiornamento di cPGuard.

Le build colpite sono le versioni di cPGuard dalla 5.88.12 alla 5.88.19. OpsShield ha dichiarato di aver scoperto l'attacco alla catena di fornitura entro 12 ore e che i falsi aggiornamenti sono stati distribuiti per circa 70 minuti. L'azienda stima che 2.950 server li abbiano eseguiti: circa 42 macchine al minuto in quella finestra.

Come sono entrati gli attaccanti

Il rapporto di incidente di OpsShield indica che gli attaccanti hanno preso di mira prima il server di fatturazione e licenze. Hanno registrato un account cliente e ordinato una prova gratuita di cPGuard per studiare come il prodotto comunicava con il sistema di licenze. Poi hanno inviato richieste costruite ad hoc al portale e ottenuto l'esecuzione di comandi su quel server. Da lì hanno caricato un falso aggiornamento di cPGuard usando una chiave di accesso rubata.

Il rapporto afferma che gli attaccanti hanno anche copiato tre server cloud di OpsShield. Lo script malevolo raccoglieva dati e li caricava sul server di licenze di OpsShield tramite un account compromesso.

Cosa faceva l'aggiornamento malevolo

Secondo l'avviso, l'aggiornamento veniva eseguito come root sui server che interrogavano l'infrastruttura di aggiornamento di OpsShield durante la finestra di compromissione. Root è il livello di privilegio più alto su un server Linux. cPGuard, il prodotto più noto di OpsShield, è pensato per i server Linux di web hosting: le macchine compromesse erano quindi server di hosting, dove il controllo root si estende ai siti e ai dati ospitati.

Lo script ha anche lasciato una shell root nascosta e file nella cartella temp delle macchine dei clienti. OpsShield ha dichiarato che gli attaccanti hanno recuperato 32 file raccolti, ciascuno da un server cliente diverso, e copiato circa 7.900 record di account clienti con nomi, aziende, indirizzi, email e password con hash.

Cosa devono fare i clienti

OpsShield ha detto ai clienti di considerare compromessi tutti gli hash delle password, le chiavi SSH di root e le password MySQL di root, e di cambiarli, insieme alla cronologia della shell sui server clienti infetti. Ha anche indicato di reimpostare la password del portale di fatturazione.

OpsShield ha precisato che i server senza cPGuard online durante la finestra non hanno ricevuto il falso aggiornamento. "Dovete comunque reimpostare la password del portale di fatturazione", ha dichiarato l'azienda nell'avviso.

Per il rilevamento, OpsShield ha pubblicato gli indicatori di compromissione. L'azienda ha dichiarato che cPGuard 5.88.25 e versioni successive rimuovono la shell root nascosta e i file aggiuntivi lasciati dallo script. I clienti devono verificare la propria versione di cPGuard e controllare gli IoC.

Pulizia e correzione

OpsShield ha dichiarato di aver cacciato gli attaccanti da tutti i server che potrebbero aver toccato. Ha reimpostato i segreti sul proprio account, rimosso la chiave SSH dell'attaccante e le risorse clonate dal proprio account cloud, e sostituito tutte le chiavi SSH e le password sui propri server.

Ha iniziato a riemettere tutte le chiavi private e pubbliche delle licenze cPGuard perché gli attaccanti le avevano compromesse. Ha reimpostato tutte le sessioni di accesso al portale di fatturazione, cambiato le chiavi API associate e sta ricostruendo i server di fatturazione, licenze e gestione interna.

"Attacchi come questo stanno diventando sempre più rapidi ed economici da eseguire. La nostra risposta è rafforzare prima il nostro processo di aggiornamento e firma, e poi rimettere subito in cPGuard quello che abbiamo imparato qui", ha dichiarato l'azienda nell'avviso.