آسیب‌پذیری‌های زنجیره تأمین نرم‌افزار (Software Supply Chain) بار دیگر خود را نشان دادند. در این حادثه، مهاجمان با هدف قرار دادن فرآیند به‌روزرسانی شرکت OpsShield، توانستند به کاربران محصول cPGuard نفوذ کنند.
جزئیات حمله و روش اجرا
عاملان تهدید (Threat Actors) با استفاده از اعتبارنامه‌های (Credentials) سرقت‌شده، موفق شدند به‌روزرسانی‌های مخربی را برای مشتریان cPGuard ارسال کنند. آن‌ها ابتدا با نفوذ به پورتال صورت‌حساب (Billing Portal) شرکت، یک حساب کاربری جعلی ایجاد کرده و از دوره آزمایشی رایگان استفاده کردند. سپس با ارسال درخواست‌های طراحی‌شده، توانستند دستوراتی را روی سرور اجرا کرده و به زیرساخت توزیع به‌روزرسانی دسترسی پیدا کنند.
مهاجمان از کلیدهای دسترسی سرقت‌شده برای انتشار به‌روزرسانی‌های جعلی استفاده کردند که با سطح دسترسی Root (بالاترین سطح دسترسی ادمین) اجرا می‌شدند. این کار به آن‌ها اجازه داد تا فایل‌های حساس را کپی کرده و از سه سرور ابری OpsShield نسخه پشتیبان تهیه کنند.
میزان آسیب و اثرات گسترده
- سرورهای تحت تأثیر: حدود ۲,۹۵۰ سرور مشتری این به‌روزرسانی مخرب را اجرا کردند که منجر به افشای Hash رمزهای عبور، کلیدهای Root SSH، رمزهای عبور MySQL و تاریخچه دستورات (Shell History) شد.
- داده‌های شخصی: حدود ۷,۹۰۰ حساب کاربری در پورتال صورت‌حساب شامل نام، آدرس، ایمیل و رمزهای عبور هش‌شده مورد دسترسی قرار گرفتند.
اقدامات اصلاحی و توصیه‌های امنیتی
شرکت OpsShield اعلام کرد که تمامی نقاط ورود احتمالی را مسدود کرده و سیستم‌های آسیب‌دیده را بازسازی می‌کند. این شرکت به‌روزرسانی‌های امنی (نسخه v5.88.26 و نسخه‌های بعدی) منتشر کرده است تا اثرات مخرب را از بین ببرد. همچنین تمامی کلیدهای خصوصی و عمومی لایسنس‌های cPGuard بازنشانی شده‌اند.
کارشناسان تأکید می‌کنند که این حادثه یادآور اهمیت مدیریت ریسک تأمین‌کنندگان (Third-party Risk Management) است. از آنجایی که ابزارهای امنیتی معمولاً با سطح دسترسی Root اجرا می‌شوند، کانال به‌روزرسانی آن‌ها به یک هدف بسیار حساس تبدیل می‌شود. سازمان‌ها باید رویکرد Zero Trust را حتی برای تأمین‌کنندگان نرم‌افزاری خود به کار بگیرند و پس از هر به‌روزرسانی، رفتار غیرعادی سیستم را پایش کنند.
