cPGuard izstrādātājs OpsShield paziņojis, ka uzbrukums sākās 2026. gada 2. novembrī plkst. 02.06 pēc UTC. Uzbrucēji izmantoja kompromitētus piekļuves datus, lai iekļūtu uzņēmuma atjauninājumu izplatīšanas infrastruktūrā jeb satura piegādes tīklā (CDN), un caur cPGuard atjauninājumu kanālu izplatīja ļaunprātīgu skriptu.
Uzņēmums norāda, ka kompromitēto versiju izplatīšanu atklāja un apturēja 12 stundu laikā pēc to ievietošanas. Tomēr daļa serveru, iespējams, skriptu nesaņēma vai neizpildīja, jo atjauninājumu pārbaudes notiek noteiktos intervālos. OpsShield nav precizējis, kā uzbrucēji ieguva sākotnējai piekļuvei izmantotos likumīgos akreditācijas datus.
Kādi dati tika vākti
cPGuard ir Linux tīmekļa serveru drošības komplekts, kas piedāvā ļaunprogrammatūras skenēšanu, ugunsmūrus un aizsardzību pret uzbrukumiem. To plaši izmanto mitināšanas uzņēmumi un serveru administratori kopā ar vadības paneļiem cPanel, DirectAdmin un Plesk. Pakalpojums tiek piedāvāts arī Namecheap virtuālajos privātajos un īpašajos serveros.
Lietotāji, kuri kompromitētajā periodā atjaunināja cPGuard, saņēma skriptu, kas serveros meklēja sensitīvus datus. Savāktā informācija tika augšupielādēta OpsShield licencēšanas serverī, izmantojot kompromitētu kontu, ko uzbrucēji pēc tam izmantoja datu iegūšanai. Izmeklēšanā uzņēmums nav noteicis, kādi dati tika savākti no katra servera, taču secinājis, ka draudu aktieris no katra klienta izgūta 32 failus.
Ko iesaka darīt administratoriem
Sistēmu administratoriem ieteikts visos cPGuard serveros instalēt versiju 5.88.25 vai jaunāku, nomainīt paroles un atjaunot datubāzu akreditācijas datus, mākoņpakalpojumu noslēpumus un SSH atslēgas. OpsShield norāda, ka jaunākā cPGuard versija noņem aizmugures durvis un sagatavotos ļaunprātīgos failus, taču nozagtie piekļuves dati pēc iespējas drīzāk jāpadara nederīgi.
Papildu piesardzības nolūkā uzņēmums plāno izlaist atjauninājumu, kas noņems iepriekš instalētās OpsShield atbalsta piekļuves atslēgas. Klientiem jāievēro šie norādījumi, jāatjaunina cPGuard vismaz līdz versijai 5.88.25 un jāatiestata vai jāmaina akreditācijas dati, kas varētu būt atklāti kompromitētajos serveros.
Skarti 2946 serveri
OpsShield pārstāvis paziņojis, ka incidents skāris 2946 serverus un uzbrucēji nokopējuši iepriekš minēto informāciju. Tika nokopēta arī uzņēmuma norēķinu sistēmas datubāze.
“Mēs strādājam, lai bloķētu visu piekļuvi, atjaunotu ietekmētās sistēmas un pēc iespējas drīzāk sagatavotu publisku paziņojumu,” sacīja uzņēmuma pārstāvis.
Tehnoloģijas
Tehnoloģijas
Tehnoloģijas