攻击者借 OpsShield 更新通道推送恶意 cPGuard 更新

据 SecurityWeek 报道，印度 IT 安全公司 OpsShield 周一遭到攻击。OpsShield 的事件通告称，攻击者用窃取的凭据进入公司分发更新所用的基础设施，也就是一个 CDN，再通过 cPGuard 的更新通道推送了一段恶意脚本。

受影响的是 cPGuard 5.88.12 至 5.88.19 版本。OpsShield 表示，公司在 12 小时内发现了这起供应链攻击，虚假更新大约分发了 70 分钟。公司估计有 2950 台服务器执行了这些更新，按这个时间窗口计算，大约每分钟 42 台机器。

攻击者是如何进入的

OpsShield 的事件报告称，攻击者首先瞄准了公司的计费和授权服务器。他们注册了一个客户账号，订购免费的 cPGuard 试用版，研究产品如何与授权系统通信，随后向门户发送构造好的请求，在那台服务器上获得了命令执行权限。接着，他们用窃取的访问密钥上传了一个伪造的 cPGuard 更新。

报告称，攻击者还复制了 OpsShield 的三台云服务器。恶意脚本收集数据，并用一个受感染的账号将其上传到 OpsShield 的授权服务器。

恶意更新做了什么

通告称，在入侵窗口内轮询 OpsShield 更新基础设施的服务器上，该更新以 root 身份执行。root 是 Linux 服务器上的最高权限级别。cPGuard 是 OpsShield 最知名的产品，面向 Linux 虚拟主机服务器，因此被入侵的机器都是托管服务器，root 控制权可以延伸到其上托管的站点和数据。

该脚本还在客户机器的临时文件夹中留下了一个隐藏的 root shell 和一些文件。OpsShield 表示，攻击者取走了 32 个收集到的文件，每个文件来自不同的客户服务器，并复制了约 7900 条客户账号记录，其中包含姓名、公司、地址、电子邮件和经过哈希处理的密码。

客户应该怎么做

OpsShield 告诉客户，应把所有密码哈希、root SSH 密钥和 MySQL root 密码视为已泄露并全部更换，同时清理受感染客户服务器上的 shell 历史记录。公司还表示，客户应重置计费门户的密码。

OpsShield 表示，在窗口期内没有让 cPGuard 在线的服务器没有收到虚假更新。公司在通告中说：“你仍然应该重置计费门户的密码。”

为了便于检测，OpsShield 公布了入侵指标（IoC）。公司称，cPGuard 5.88.25 及更高版本会清除脚本留下的隐藏 root shell 和额外文件。客户应核对自己的 cPGuard 版本，并检查是否存在这些 IoC。

清理与修复

OpsShield 表示，已将所有攻击者可能接触过的服务器上的攻击者清除出去。公司重置了账号上的密钥，删除了攻击者的 SSH 密钥和云账号中被克隆的资产，并更换了所有服务器上的 SSH 密钥和密码。

由于攻击者已使所有 cPGuard 授权的公钥和私钥泄露，公司开始重新签发这些密钥。它重置了所有计费门户的登录会话，更换了相关的 API 密钥，并正在重建计费、授权和内部管理服务器。

公司在通告中说：“这类攻击的执行正变得越来越快、成本越来越低。我们的回应是先把自身的更新和签名流程加固，然后把在这里学到的东西直接用到 cPGuard 中，交到你们手上。”