یک مهاجم ناشناس موفق به نفوذ به سیستم‌های لایسنس (Licensing) و به‌روزرسانی شرکت OPSSHIELD شده و از طریق کانال به‌روزرسانی (Update Channel) محصول CPGuard، یک اسکریپت مخرب را توزیع کرده است. این حمله که یک نمونه از حملات زنجیره تأمین (Supply Chain Attack) محسوب می‌شود، به مهاجم اجازه داده تا دسترسی‌های غیرمجاز به سیستم‌های کاربران را به دست آورد.
جزئیات حمله و عملکرد بدافزار
اسکریپت مخرب توزیع شده، یک درگاه پشتی (Backdoor) ایجاد کرده و داده‌های حساس را به یک نقطه پایانی (Endpoint) در سرور لایسنس ارسال می‌کرد. این بدافزار فایل‌های زیر را هدف قرار داده و در مسیر /var/tmp/.cpg91511 جمع‌آوری می‌کرد:
- هش‌های رمز عبور (Password Hashes)
- فایل حساس
/etc/shadow - آرشیو اطلاعات حساس (Credential archive) شامل فایل
loot.tgz
اقدامات فوری و اصلاحی
شرکت OPSSHIELD نسخه اصلاح‌شده 5.88.25 را برای حذف این درگاه پشتی و فایل‌های باقی‌مانده منتشر کرده است. تمامی کاربران باید اقدامات زیر را بلافاصله انجام دهند:
- به‌روزرسانی فوری: اجرای دستور
cpgcli update --startبرای ارتقا به نسخه 5.88.25. - تأیید نسخه: بررسی نسخه نصب شده با دستور
cpgcli --versionجهت اطمینان از نصب نسخه 5.88.25. - بازنشانی اعتبارنامه‌ها: حتی پس از به‌روزرسانی، باید تمامی رمزهای عبور (به‌ویژه root و حساب‌های محلی)، کلیدهای SSH، توکن‌های سرویس‌های ابری (مانند DigitalOcean و S3) و سایر اسرار (Secrets) موجود در تاریخچه شل (Shell History) را تغییر داد.
با توجه به اینکه مهاجم ممکن است قبل از پاکسازی، اطلاعات را کپی کرده باشد، بازنشانی کامل تمامی اعتبارنامه‌ها (Credentials) برای جلوگیری از دسترسی مجدد و طولانی‌مدت مهاجم حیاتی است.
