Hackers hijack cPGuard autoupdate to deploy backdoor, steal data

Pi­ra­tas in­for­má­ti­cos lo­gra­ron vul­ne­rar los sis­te­mas de ac­tua­li­za­ción de la he­rra­mien­ta de se­gu­ri­dad web cP­Guard con el pro­pó­si­to de pro­pa­gar un có­di­go ma­li­cio­so de tipo puer­ta tra­se­ra y un script di­se­ña­do para la ex­fil­tra­ción de in­for­ma­ción. La em­pre­sa res­pon­sa­ble del soft­wa­re in­di­có que la in­tru­sión se ori­gi­nó me­dian­te el uso de cre­den­cia­les le­gí­ti­mas pero no au­to­ri­za­das para ac­ce­der a la in­fra­es­truc­tu­ra de dis­tri­bu­ción, aun­que to­da­vía no se ha es­cla­re­ci­do la forma en que los ata­can­tes ob­tu­vie­ron dicho ac­ce­so.

Los usua­rios que ac­tua­li­za­ron el pro­gra­ma de se­gu­ri­dad du­ran­te el pe­rio­do afec­ta­do ob­tu­vie­ron un script en­fo­ca­do en sus­traer in­for­ma­ción crí­ti­ca de sus equi­pos, como his­to­ria­les de co­man­dos, hashes de con­tra­se­ñas de Linux, con­fi­gu­ra­cio­nes de bases de datos y ar­chi­vos de au­to­ri­za­ción de SSH. Dicha in­for­ma­ción fue ex­fil­tra­da uti­li­zan­do una cuen­ta vul­ne­ra­da en el pro­pio ser­vi­dor de li­cen­cias del pro­vee­dor para pos­te­rior­men­te ser re­cu­pe­ra­da por los res­pon­sa­bles del ata­que.

Como me­di­das de mi­ti­ga­ción y res­pues­ta, el fa­bri­can­te re­co­mien­da ac­tua­li­zar la suite de se­gu­ri­dad a una ver­sión pos­te­rior, ade­más de pro­ce­der con el cam­bio y ro­ta­ción de cre­den­cia­les, cla­ves SSH y se­cre­tos que pu­die­ran haber que­da­do ex­pues­tos. Asi­mis­mo, la com­pa­ñía se­ña­ló que el in­ci­den­te afec­tó a casi tres mil ser­vi­do­res y que se en­cuen­tra tra­ba­jan­do en la re­cons­truc­ción de los sis­te­mas im­pac­ta­dos, la in­va­li­da­ción de ac­ce­sos y la eli­mi­na­ción de cla­ves de so­por­te pre­via­men­te ins­ta­la­das.