یک عامل تهدید (Threat Actor) ناشناس با نفوذ به کانال به‌روزرسانی ابزار امنیتی cPGuard که در سرورهای میزبانی لینوکس استفاده می‌شود، موفق شد اسکریپتی مخرب را برای نصب یک Backdoor و جمع‌آوری فایل‌های حساس توزیع کند. شرکت OPSSHIELD تأیید کرده است که مهاجم توانسته است بخشی از داده‌های سرقت شده را بازیابی کند و از مدیران سیستم خواسته است تا فوراً نسخه 5.88.25 یا نسخه‌های جدیدتر را نصب کنند.
جزئیات فنی حمله و نحوه نفوذ
بر اساس گزارش امنیتی OPSSHIELD، این رخنه در تاریخ ۲ نوامبر ۲۰۲۶ آغاز شده است. مهاجم با استفاده از اعتبارنامه‌های (Credentials) سرقتی، به زیرساخت توزیع به‌روزرسانی یا CDN شرکت دسترسی پیدا کرده است. در حال حاضر نحوه به‌دست آمدن این اعتبارنامه‌ها در دست بررسی است.
این اسکریپت مخرب از طریق نسخه‌های 5.88.12 تا 5.88.19 توزیع شده است. تیم امنیتی OPSSHIELD ظرف ۱۲ ساعت پس از انتشار به‌روزرسانی‌های آلوده، متوجه حمله شده، حساب‌های متاسف را ایمن کرده و توزیع فایل‌ها را متوقف نموده است. با این حال، به دلیل اینکه سرورها در بازه‌های زمانی مختلف به‌روزرسانی می‌شوند، ممکن است برخی از آن‌ها اسکریپت مخرب را اجرا کرده باشند.
داده‌های سرقتی و مخاطرات امنیتی
اسکریپت مخرب اقدام به جمع‌آوری فایل‌های سیستمی لینوکس از جمله موارد زیر کرده است:
- فایل‌های حساب‌های کاربری مانند
/etc/shadowو/etc/passwd - تنظیمات روت MariaDB یا MySQL
- تاریخچه دستورات روت (Root Shell History)
- فایل‌های SSH Authorization و known-hosts مربوط به کاربر روت
داده‌های جمع‌آوری شده به سرور لایسنسینگ OPSSHIELD (تحت یک حساب سرقتی) ارسال شده‌اند تا مهاجم در مراحل بعدی آن‌ها را بازیابی کند. طبق تخمین‌های اولیه، مهاجم توانسته است ۳۲ فایل مربوط به ۳۲ سرور مشتری را استخراج کند.
یکی از نگرانی‌های اصلی، ذخیره شدن رمزهای عبور در فایل /etc/shadow به صورت هش (Hash) است؛ مهاجمان می‌توانند این هش‌ها را به صورت آفلاین برای شکستن رمزهای عبور ضعیف یا تکراری مورد استفاده قرار دهند. همچنین، تنظیمات دیتابیس و تاریخچه شل ممکن است حاوی اسرار (Secrets) بدون رمزنگاری باشند.
راهکارهای مقابله و پاکسازی
مدیران سیستم برای بررسی تاریخچه به‌روزرسانی‌ها می‌توانند از دستور grep 'Successfully updated' /opt/cpguard/logs/install_log استفاده کنند. وجود نسخه‌های 5.88.12 تا 5.88.19 نشان‌دهنده نصب به‌روزرسانی آلوده است، هرچند لزوماً به معنای اجرای اسکریپت یا انتقال داده نیست.
شاخص‌های شناسایی (IoCs):
- اسکریپت:
cpguard-v58812-i91511.sh - شل Backdoor:
/var/tmp/.cpg91511_sh - دایرکتوری جمع‌آوری:
/var/tmp/.cpg91511 - آرشیو داده‌ها:
/var/tmp/.cpg91511/loot.tgz
برای رفع مشکل، کاربران باید دستور cpgcli update --start را اجرا کرده و با دستور cpgcli --version از نصب نسخه 5.88.25 یا بالاتر اطمینان حاصل کنند. همچنین توصیه می‌شود در محیط‌های بازیابی مورد اعتماد، رمز عبور کاربر root و سایر حساب‌های محلی تغییر داده شود و کلیدهای خصوصی SSH در مسیر /root/.ssh جایگزین گردند.
