Atakujący wypchnęli złośliwe aktualizacje cPGuard kanałem aktualizacji OpsShield

SecurityWeek podał, że OpsShield, indyjska firma z branży bezpieczeństwa IT, została zaatakowana w poniedziałek. Według komunikatu OpsShield o incydencie atakujący użyli przejętych danych logowania, żeby dostać się do infrastruktury dystrybucji aktualizacji, czyli do CDN. Stamtąd wypchnęli złośliwy skrypt kanałem aktualizacji cPGuard.

Chodziło o wersje cPGuard od 5.88.12 do 5.88.19. OpsShield podała, że atak na łańcuch dostaw wykryła w ciągu 12 godzin, a fałszywe aktualizacje były rozprowadzane przez około 70 minut. Firma szacuje, że wykonało je 2 950 serwerów, co daje około 42 maszyn na minutę w tym czasie.

Jak weszli atakujący

Raport OpsShield o incydencie podaje, że atakujący najpierw uderzyli w serwer rozliczeń i licencji. Zarejestrowali konto klienta i zamówili darmowy okres próbny cPGuard, żeby przyjrzeć się, jak produkt komunikuje się z systemem licencji. Potem wysłali spreparowane zapytania do portalu i uzyskali wykonanie poleceń na tym serwerze. Stamtąd wgrali fałszywą aktualizację cPGuard, używając skradzionego klucza dostępu.

Z raportu wynika też, że atakujący skopiowali trzy serwery chmurowe OpsShield. Złośliwy skrypt zbierał dane i wysyłał je na serwer licencji OpsShield, korzystając z przejętego konta.

Co robiła złośliwa aktualizacja

Jak podano w komunikacie, aktualizacja wykonała się jako root na serwerach, które w okresie kompromitacji odpytywały infrastrukturę aktualizacji OpsShield. Root to najwyższy poziom uprawnień na serwerze z Linuksem. cPGuard, najbardziej znany produkt OpsShield, jest przeznaczony dla serwerów hostingowych z Linuksem. Zaatakowane maszyny były więc serwerami hostingowymi, a kontrola roota sięga tam również do hostowanych stron i danych.

Skrypt zostawił również ukrytą powłokę roota i pliki w katalogu tymczasowym maszyn klientów. OpsShield podał, że atakujący pobrali 32 zebrane pliki, każdy z innego serwera klienta, i skopiowali około 7 900 rekordów kont klientów z nazwiskami, nazwami firm, adresami, e-mailami i hashami haseł.

Co mają zrobić klienci

OpsShield zalecił klientom traktować wszystkie hashe haseł, klucze SSH roota i hasła roota do MySQL jako przejęte i wymienić je, podobnie jak historię powłoki na zainfekowanych serwerach. Firma podała też, że klienci powinni zresetować hasło do portalu rozliczeniowego.

Według OpsShield serwery, na których cPGuard nie działał w tym czasie, nie dostały fałszywej aktualizacji. Firma napisała w komunikacie: „Nadal powinniście zresetować hasło do portalu rozliczeniowego”.

Aby ułatwić wykrywanie, OpsShield opublikował wskaźniki kompromitacji. Firma podała, że cPGuard 5.88.25 i nowsze usuwają ukrytą powłokę roota i dodatkowe pliki zostawione przez skrypt. Klienci powinni sprawdzić swoją wersję cPGuard i poszukać tych wskaźników.

Sprzątanie i poprawka

OpsShield podał, że usunął atakujących ze wszystkich serwerów, których mogli dotknąć. Zresetował sekrety na swoim koncie, usunął klucz SSH atakujących i sklonowane zasoby ze swojego konta w chmurze oraz wymienił wszystkie klucze SSH i hasła na swoich serwerach.

Zaczął też wystawiać od nowa wszystkie prywatne i publiczne klucze licencji cPGuard, bo atakujący je przejęli. Zresetował wszystkie sesje logowania do portalu rozliczeniowego, wymienił powiązane klucze API i odbudowuje serwery rozliczeń, licencji i zarządzania wewnętrznego.

Firma napisała w komunikacie: „Takie ataki stają się coraz szybsze i tańsze w przeprowadzeniu. Nasza odpowiedź to najpierw wzmocnienie własnego procesu aktualizacji i podpisywania, a potem przełożenie tego, czego się tu nauczyliśmy, prosto do cPGuard dla was”.