مهاجمان موفق شده‌اند زیرساخت به‌روزرسانی مجموعه امنیتی وب cPGuard را هدف قرار داده و از طریق آن، یک بک‌دور (Backdoor) و یک اسکریپت سرقت داده (Data-stealing script) را توزیع کنند. این حمله که یک نمونه از حملات زنجیره تأمین (Supply Chain Attack) است، مستقیماً امنیت سرورهای تحت مدیریت مدیران سیستم را هدف قرار داده است.
جزئیات نفوذ و دامنه آسیب‌دیدگی
شرکت OpsShield، توسعه‌دهنده cPGuard، اعلام کرد که این حمله از تاریخ ۲ نوامبر آغاز شده و نسخه‌های 5.88.12 تا 5.88.19 را تحت تأثیر قرار داده است. مهاجمان با استفاده از اعتبارنامه‌های (Credentials) سرقت‌شده، به زیرساخت توزیع محتوای (CDN) این شرکت دسترسی پیدا کرده و نسخه‌های آلوده را جایگزین کردند.
- تعداد سرورهای آسیب‌دیده: طبق اعلام شرکت، حدود ۲۹۴۶ سرور تحت تأثیر قرار گرفته‌اند.
- نوع داده‌های سرقت‌شده: بررسی‌ها نشان می‌دهد که عامل تهدید (Threat Actor) به‌طور متوسط ۳۲ فایل حساس را از هر مشتری سرقت کرده است. همچنین، پایگاه داده سیستم صورت‌حساب (Billing system) شرکت نیز مورد نفوذ قرار گرفته است.
- روش خروج داده‌ها: داده‌های سرقت‌شده از طریق یک حساب کاربری هک‌شده به سرور لایسنس OpsShield منتقل شده و سپس توسط مهاجمان بازیابی شده‌اند.
اقدامات اصلاحی و توصیه‌های امنیتی فوری
با توجه به ماهیت این حمله، مدیران سیستم و سازمان‌ها باید فوراً اقدامات زیر را برای رفع اثرات این نفوذ انجام دهند:
- به‌روزرسانی فوری: تمامی سرورهای دارای cPGuard باید بدون تأخیر به نسخه 5.88.25 یا بالاتر ارتقا یابند. این به‌روزرسانی بک‌دور و فایل‌های مخرب را حذف می‌کند.
- بازنشانی اعتبارنامه‌ها: به‌روزرسانی به تنهایی کافی نیست؛ تمامی رمزهای عبور سیستم باید بازنشانی (Reset) شوند.
- چرخش کلیدها (Key Rotation): حتماً اعتبارنامه‌های پایگاه داده (Database credentials)، اسرار ابری (Cloud secrets) و کلیدهای SSH را تغییر دهید.
- ابطال دسترسی‌ها: تمامی اعتبارنامه‌هایی که احتمال می‌رود در سرورهای آلوده قرار گرفته باشند، باید بلافاصله باطل (Invalidate) شوند.
