cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes

Un ata­can­te logró vul­ne­rar el sis­te­ma de ac­tua­li­za­cio­nes de la he­rra­mien­ta de se­gu­ri­dad cP­Guard para dis­tri­buir un script ma­li­cio­so di­ri­gi­do a ser­vi­do­res Linux de los clien­tes. Dicho script ins­ta­ló una puer­ta tra­se­ra y re­co­pi­ló ar­chi­vos de­li­ca­dos junto con hashes de con­tra­se­ñas, in­for­ma­ción que pos­te­rior­men­te fue sus­traí­da por el agre­sor tras uti­li­zar las cre­den­cia­les com­pro­me­ti­das para ac­ce­der al sis­te­ma.

Las ver­sio­nes pos­te­rio­res de cP­Guard eli­mi­nan tanto la puer­ta tra­se­ra como los ar­chi­vos re­ma­nen­tes de­ja­dos por el script; sin em­bar­go, se ad­vier­te que las cre­den­cia­les co­pia­das po­drían se­guir vi­gen­tes, por lo que es ne­ce­sa­rio rea­li­zar cam­bios de cla­ves y con­tra­se­ñas. La em­pre­sa afec­ta­da de­tec­tó el in­ci­den­te en el trans­cur­so de las horas pos­te­rio­res al lan­za­mien­to de las ver­sio­nes al­te­ra­das y logró ase­gu­rar su in­fra­es­truc­tu­ra de cre­den­cia­les.

El script re­co­lec­tó datos como con­fi­gu­ra­cio­nes de bases de datos, his­to­ria­les de co­man­dos, ar­chi­vos de con­tra­se­ñas ci­fra­das y cla­ves de ac­ce­so. La com­pa­ñía crea­do­ra de la he­rra­mien­ta insta a los ad­mi­nis­tra­do­res a ac­tua­li­zar los ser­vi­do­res a las ver­sio­nes co­rre­gi­das me­dian­te co­man­dos es­pe­cí­fi­cos y a rea­li­zar ta­reas de mi­ti­ga­ción como la ro­ta­ción de cre­den­cia­les, cla­ves SSH y se­cre­tos ex­pues­tos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre la iden­ti­dad del ata­can­te ni sobre el mé­to­do exac­to en que ob­tu­vo las cre­den­cia­les ini­cia­les.