cPGuard נפרצה: עדכון של כלי אבטחה לשרתי אחסון התקין דלת אחורית וגנב סיסמאות
תוקף השתלט על ערוץ העדכונים של cPGuard והפיץ דרכו סקריפט שאסף סיסמאות ומפתחות SSH משרתי אחסון. החברה ממליצה לעדכן מיד ולהחליף סיסמאות בכל שרת שהתקין את הגרסאות הפגועות.
TL;DR בקצרה
- ב-2 בנובמבר תוקף השתמש בפרטי גישה גנובים להפצת עדכון זדוני של cPGuard
- הגרסאות הפגועות הן 5.88.12 עד 5.88.19, והגרסה הבטוחה היא 5.88.25 ומעלה
- הסקריפט אסף קבצי סיסמאות, הגדרות MySQL ומפתחות SSH של root
- לפי הערכה ראשונית, התוקף משך נתונים מ-32 שרתים של לקוחות
תוקף פרץ לערוץ העדכונים של cPGuard, כלי אבטחה לשרתי אחסון לינוקס, והפיץ דרכו סקריפט שהתקין דלת אחורית ואסף סיסמאות. לפי ההודעה של OPSSHIELD, החברה שמפתחת את cPGuard, התקיפה התחילה ב-2 בנובמבר בשעה 02:06 לפי שעון UTC. החברה זיהתה אותה תוך 12 שעות ועצרה את ההפצה.
מה קרה בעדכונים של cPGuard
cPGuard הוא כלי אבטחה לשרתי לינוקס שמארחים אתרים. חברות אחסון ומנהלי שרתים מתקינים אותו כדי להגן על השרת. הפעם הכלי עצמו הפך לדרך הכניסה.
לפי OPSSHIELD, התוקף השתמש בפרטי גישה גנובים כדי להיכנס לרשת ההפצה (CDN) של העדכונים. משם הוא דחף סקריפט זדוני בגרסאות 5.88.12 עד 5.88.19. החברה עדיין בודקת איך התוקף השיג את פרטי הגישה.
הסקריפט אסף מהשרת כמה סוגים של קבצים רגישים:
- קבצי החשבונות והסיסמאות של לינוקס, /etc/shadow ו-/etc/passwd.
- קובץ ההגדרות של MariaDB או MySQL של משתמש root.
- היסטוריית הפקודות של root.
- קבצי המפתחות של SSH שמגדירים מי רשאי להתחבר לשרת.
בנוסף, הסקריפט התקין מעטפת שמשמשת כדלת אחורית. את הנתונים הוא העלה לשרת הרישוי של OPSSHIELD עצמה, תחת חשבון שהתוקף שלט בו. לפי ההערכה הראשונית, התוקף משך משם 32 קבצים, וכל אחד מהם שייך לשרת אחד של לקוח. החברה מדגישה שזה לא המספר הכולל של השרתים שעלולים להיפגע.
למה פריצה ל-cPGuard מסוכנת במיוחד
זו מתקפת שרשרת אספקה (supply chain), כלומר פריצה לספק תוכנה כדי להגיע ללקוחות שלו. כלי אבטחה הוא מטרה נוחה במיוחד, כי הוא רץ עם הרשאות מלאות ומקבל עדכונים אוטומטיים. מנהלי השרתים סומכים עליו, ולכן אף אחד לא בודק כל עדכון שלו.
הנזק כאן גם לא נגמר בעדכון. גרסה 5.88.25 מסירה את הדלת האחורית ואת הקבצים שהסקריפט השאיר. אבל היא לא יכולה לבטל סיסמאות ומפתחות שכבר יצאו מהשרת. מי שמחזיק סיסמה של root או מפתח SSH יכול לחזור לשרת מתי שירצה.
שרת אחסון אחד מארח לעתים עשרות או מאות אתרים של עסקים. לכן גם בעלי אתרים שלא שמעו מעולם על cPGuard צריכים לשאול את חברת האחסון שלהם אם היא משתמשת בכלי. OPSSHIELD לא ממליצה כרגע לבנות מחדש כל שרת, אבל היא מציינת שזו המלצה זמנית.
מה זה אומר עבורכם
- מנהלים שרת עם cPGuard? הריצו cpgcli update –start, ואז cpgcli –version כדי לוודא שהגרסה היא 5.88.25 ומעלה.
- בדקו את היסטוריית העדכונים עם הפקודה grep 'Successfully updated' /opt/cpguard/logs/install_log. כל שורה עם גרסה 5.88.12 עד 5.88.19 אומרת שהשרת קיבל עדכון פגוע.
- אם השרת קיבל עדכון פגוע, אפסו את הסיסמאות של root ושל כל משתמש מקומי. החליפו גם את סיסמאות מסד הנתונים ואת מפתחות SSH.
- החליפו כל סוד שהופיע בהיסטוריית הפקודות, כמו מפתחות S3 או טוקנים של DigitalOcean. אותו דבר לגבי סיסמה שהשתמשתם בה גם במערכות אחרות.
- יש לכם אתר באחסון משותף? שאלו את חברת האחסון אם היא משתמשת ב-cPGuard ומה היא עשתה מאז 2 בנובמבר.
מה הלאה
OPSSHIELD מפיצה עדכון נוסף שמסיר מפתחות גישה של צוות התמיכה שלה מהשרתים. החברה הבטיחה לפרסם ממצאים מאומתים ככל שהחקירה תתקדם. היא גם מזהירה שהיעדר הקבצים של הסקריפט לא מוכיח שהוא לא רץ בשרת.
מקורות והרחבה
- cPGuard Update Channel CompromiseOPSSHIELD
- Hackers hijacked Linux hosting server security tool cPGuard and used it as a backdoorCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
