Una actualización de cPGuard manipulada robó datos de 2.946 servidores

OpsShield, la empresa detrás del complemento de seguridad para servidores cPGuard, ha confirmado que unos atacantes usaron credenciales robadas para entrar en su sistema de distribución de actualizaciones y enviar un script malicioso a sus clientes. El ataque empezó el 2 de noviembre y la compañía dice que detuvo la distribución en menos de 12 horas.

Qué datos se llevaron

El script buscaba información muy delicada del servidor: los hashes de las contraseñas de Linux, la configuración de la base de datos como administrador, el historial de comandos del usuario root y sus archivos de acceso SSH. Todo se subía al servidor de licencias de OpsShield, desde donde los atacantes lo recogían. También copiaron la base de datos del sistema de facturación.

Según un portavoz, hay 2.946 servidores afectados, aunque la empresa admite que no puede asegurar si otros servidores llegaron a ejecutar el script, por los intervalos con que comprueban las actualizaciones. Tampoco se sabe cómo se obtuvieron las credenciales.

Qué hacer si usas cPGuard

• Comprueba la versión: de la 5.88.12 a la 5.88.19 son las comprometidas.
• Actualiza a la 5.88.25 o posterior; elimina la puerta trasera y los archivos que dejó preparados.
• Cambia las contraseñas y rota las credenciales de bases de datos, secretos en la nube y claves SSH.
• OpsShield publicará otra actualización para retirar las claves de acceso de soporte que instaló antes.

Es un ejemplo más de ataque a la cadena de suministro: aquí el riesgo no estaba en un fallo del programa, sino en el propio canal por el que llegaban las actualizaciones de confianza.