یک عامل تهدید (Threat Actor) موفق شد زیرساخت به‌روزرسانی cPGuard، مجموعه امنیتی مخصوص سرورهای میزبانی وب لینوکس را مورد نفوذ قرار دهد و یک به‌روزرسانی مخرب را به نزدیک به ۳,۰۰۰ سرور مشتری ارسال کند.
جزئیات فنی حمله و دامنه اثرگذاری
شرکت OPSShield، توسعه‌دهنده این نرم‌افزار، تأیید کرد که مهاجم در تاریخ ۲ نوامبر ۲۰۲۶، نسخه‌های مخرب 5.88.12 تا 5.88.19 را در فضای ذخیره‌سازی به‌روزرسانی‌ها آپلود کرده است. در بازه زمانی کوتاهی، ایجنت‌های cPGuard این به‌روزرسانی‌های جعلی را دریافت و با دسترسی root اجرا کردند.
این به‌روزرسانی در واقع یک اسکریپت کوتاه بود که فایل‌های حساس را جمع‌آوری کرده و به سروری تحت کنترل مهاجم ارسال می‌کرد. داده‌های سرقت شده شامل موارد زیر است:
- هش‌های رمز عبور (Password Hashes)
- کلیدهای SSH ریشه (Root SSH Keys)
- رمز عبور root دیتابیس MySQL
- تاریخچه دستورات شل (Root Shell History) که احتمالاً حاوی توکن‌ها و رمزهای تایپ شده است
- کلیدهای ذخیره‌سازی ابری (Cloud Storage Keys)
بررسی مسیر نفوذ (Attack Vector)
بر اساس گزارش OPSShield، مهاجم ابتدا پورتال پرداخت (Billing Portal) شرکت را بررسی کرده و با یک هویت جعلی، یک حساب کاربری آزمایشی ایجاد کرد تا نحوه ارتباط ایجنت با سیستم لایسنس را تحلیل کند. سپس با ارسال درخواست‌های دست‌کاری شده (Crafted Requests) به صفحات Callback پورتال پرداخت، توانست دسترسی اجرای دستورات (RCE) روی سرور لایسنس و پرداخت را به دست آورد.
در این مرحله، مهاجم به اطلاعات حدود ۷,۹۰۰ مشتری (شامل نام، ایمیل و رمزهای هش شده با bcrypt) دسترسی پیدا کرد و در نهایت با به‌دست آوردن کلید دسترسی به فضای ذخیره‌سازی به‌روزرسانی‌ها، نسخه‌های آلوده را جایگزین کرد.
ماندگاری و دسترسی‌های پشتیبان
این اسکریپت مخرب برای حفظ دسترسی (Persistence)، یک شل ریشه مخفی (Hidden Root Shell) در مسیر /var/tmp/.cpg91511_sh و فایل‌هایی در /var/tmp/.i93677/ ایجاد کرد تا مهاجم بتواند در آینده به سرورها بازگردد.
اقدامات اصلاحی و توصیه‌ها
شرکت OPSShield نسخه پاک‌سازی شده v5.88.26 را منتشر کرده است که شل مخفی را حذف می‌کند. برای مدیران سیستم و SOC پیشنهاد می‌شود:
- بررسی نصب بودن نسخه‌های آلوده (5.88.12 تا 5.88.19) روی سرورها.
- به‌روزرسانی فوری به نسخه v5.88.26 یا بالاتر.
- در صورتی که تأیید شده مهاجم به صورت دستی وارد سرور شده است، بازسازی کامل سرور از بک‌آپ‌های پیش از تاریخ ۱ نوامبر توصیه می‌شود.
- تغییر تمامی رمزهای عبور root و کلیدهای SSH در سرورهای متأثر.
به‌روزرسانی (نوامبر 4, 2026 — SecurityWeek)
به‌روزرسانی: طبق گزارش‌های تکمیلی، نسخه‌های 5.88.12 تا 5.88.19 نرم‌افزار cPGuard تحت تأثیر این حمله قرار گرفته‌اند و کاربران باید سریعاً به نسخه 5.88.25 یا بالاتر به‌روزرسانی کنند تا شل‌های root مخفی و فایل‌های اضافی حذف شوند.
بررسی‌ها نشان می‌دهد که بردار حمله (Attack Vector) از طریق سرور صدور مجوز و صورت‌حساب (Billing and Licensing Server) آغاز شده است. عامل تهدید ابتدا با ثبت یک حساب کاربری رایگان و ارسال درخواست‌های دست‌کاری شده (Crafted Requests)، توانست دسترسی اجرای دستورات (Command Execution) را روی این سرور به دست آورد و سپس با استفاده از یک کلید دسترسی سرقتی، به‌روزرسانی مخرب را در شبکه توزیع محتوا (CDN) منتشر کرد.
علاوه بر سرایت به سرورهای مشتریان، مهاجمان موفق شدند حدود 7,900 رکورد از حساب‌های کاربری مشتریان، شامل نام، ایمیل، آدرس و رمزهای عبور هش شده (Hashed Passwords) را سرقت کنند.
