Hoje, dia 4 de novembro, ficamos sabendo de um ataque contra o cPGuard, um conjunto de ferramentas de segurança para servidores web Linux que faz varredura de malware, firewall e proteção contra ataques. Segundo a desenvolvedora OpsShield, a invasão começou em 2 de novembro, às 02:06 UTC, e atingiu as versões 5.88.12 até a 5.88.19. Os criminosos usaram credenciais legítimas roubadas para entrar na infraestrutura que distribui as atualizações do programa, e a origem dessas credenciais ainda não foi esclarecida.

Pense na atualização como um entregador de confiança que leva pacotes para a sua casa. Nesse caso, o invasor trocou o conteúdo da caixa: quem atualizou o cPGuard nesse período recebeu um script que vasculhava a máquina atrás de informações sensíveis, como hashes de senhas do Linux, configurações do banco de dados MariaDB/MySQL, histórico de comandos do root e arquivos de autorização SSH. Além disso, a versão adulterada instalou um backdoor, uma porta secreta que permite ao invasor voltar ao sistema depois.

Os dados roubados foram enviados ao servidor de licenciamento da OpsShield por meio de uma conta comprometida, e depois recuperados pelos atacantes. A empresa diz que a investigação encontrou 32 arquivos retirados de cada cliente, mas ainda não sabe exatamente o que foi coletado em cada servidor. A OpsShield afirma ter detectado o problema e interrompido a distribuição em até 12 horas, embora alguns servidores possam não ter recebido o script por causa dos intervalos de verificação de atualizações. Uma porta-voz informou à BleepingComputer que 2.946 servidores foram afetados.

Quem usa cPGuard, principalmente empresas de hospedagem e administradores de servidores que trabalham com painéis como cPanel, DirectAdmin e Plesk, deve tomar providências. A recomendação da fonte é atualizar todos os servidores para a versão 5.88.25 ou posterior, o que remove o backdoor e os arquivos preparados pelo invasor. Como as credenciais roubadas continuam valendo até serem invalidadas, também é preciso trocar senhas, credenciais de banco de dados, segredos de nuvem e chaves SSH o quanto antes. A OpsShield também disse que vai liberar uma atualização para remover chaves de acesso de suporte instaladas anteriormente. A empresa prepara um comunicado público, mas ainda não há data definida.