Една актуализация за сигурност би трябвало да затвори врата. За някои потребители на cPGuard обаче тя е отворила врата.
OPSSHIELD съобщава, че нападатели са компрометирали сървъра за таксуване и лицензи, а след това са използвали откраднат ключ, за да разпространят фалшива актуализация на cPGuard. Кодът се е изпълнявал с права на root и е събирал чувствителни файлове. Доставчикът съобщава, че около 2 950 сървъра са изпълнили актуализацията и информация от около 7 900 акаунта в портала за таксуване е била копирана. Това са данни на доставчика, които не са проверени независимо.
Какво се е случило според OPSSHIELD
Съобщението на OPSSHIELD за инцидента посочва като засегнати версиите на cPGuard от 5.88.12 до 5.88.19. Приемете за изложени на риск сървърите с инсталиран cPGuard, които са били онлайн между 02:08 и 03:20 UTC на 2 ноември.
Скриптът е прочел локални файлове с пароли, SSH файлове на root, конфигурация на MySQL, когато е била налична, и историята на командите на root. На малък брой сървъри е имал достъп и до ключове за облачно хранилище. OPSSHIELD посочва 5.88.26 като чистата версия. В по-ранни публикации се споменаваше 5.88.25, затова следвайте най-новите указания на доставчика.
Какво да направите сега
Проверете версията с cpgcli --version, актуализирайте до най-новата версия и следвайте указанията на OPSSHIELD:
- Сменете паролите за root и локалните потребители, паролите за бази данни и другите тайни, до които сървърът е имал достъп.
- Заменете SSH ключовете за root, премахнете старите доверени ключове от другите системи и прегледайте
authorized_keys. - Подменете ключовете за облачно хранилище, ако е наличен файлът
/root/.s3cfg. - Проверете дали
/etc/cron.d/i93677,/var/tmp/.i93677/и/var/tmp/.cpg91511_shса премахнати. Изтрийте ги, ако все още са там. - Сменете паролата за портала за таксуване на OPSSHIELD и включете двуфакторно удостоверяване.
Ако OPSSHIELD Ви е уведомила, че нападател е влизал ръчно във Вашия сървър, доставчикът препоръчва да го възстановите от чисто резервно копие, направено преди 1 ноември. Прегледайте и свързаните системи, както и споделените идентификационни данни. В нашето ръководство за риска от трети страни обясняваме защо сигурността на доставчика е част от Вашата.
Ако не сте сигурни какво да проверите първо, ясен план за реакция е по-добър от смяна на пароли на случаен принцип. Вижте какво да направите през първия час след инцидент.
Ако се нуждаете от помощ при определянето на първите стъпки за проверка:
Заявете 15-минутна консултация за реакция при инцидент
Ще Ви помогнем да определите кои системи и идентификационни данни да проверите първо, без ангажимент.