Malicious cPGuard Updates Served in OpsShield Supply Chain Attack

La em­pre­sa india de se­gu­ri­dad in­for­má­ti­ca OpsShield su­frió un ci­ber­ata­que en el que los ata­can­tes em­plea­ron cre­den­cia­les com­pro­me­ti­das para in­fil­trar­se en su in­fra­es­truc­tu­ra de dis­tri­bu­ción de ac­tua­li­za­cio­nes y di­fun­dir ver­sio­nes ma­li­cio­sas de su pro­gra­ma cP­Guard. Los pi­ra­tas in­for­má­ti­cos ini­cia­ron el pro­ce­so ata­can­do el ser­vi­dor de fac­tu­ra­ción y li­cen­cias, donde con­si­guie­ron la eje­cu­ción de co­man­dos para pos­te­rior­men­te subir la ac­tua­li­za­ción falsa uti­li­zan­do una clave de ac­ce­so ro­ba­da.

El script ma­li­cio­so, in­clui­do en va­rias ver­sio­nes del soft­wa­re, se eje­cu­tó con pri­vi­le­gios de ad­mi­nis­tra­dor en los ser­vi­do­res que con­sul­ta­ron la in­fra­es­truc­tu­ra de la em­pre­sa du­ran­te el pe­rio­do del in­ci­den­te, ins­ta­lan­do una ter­mi­nal ocul­ta y otros ar­chi­vos tem­po­ra­les. Como re­sul­ta­do, los ata­can­tes lo­gra­ron sus­traer ar­chi­vos de los clien­tes, co­piar re­gis­tros de cuen­tas que con­te­nían in­for­ma­ción per­so­nal y cre­den­cia­les ci­fra­das, y du­pli­car ser­vi­do­res en la nube de la com­pa­ñía.

Para con­te­ner el in­ci­den­te, OpsShield ex­pul­só a los ata­can­tes, res­ta­ble­ció cre­den­cia­les y se­cre­tos, eli­mi­nó los ac­ce­sos y co­pias no au­to­ri­za­das, y co­men­zó a re­em­pla­zar las lla­ves y con­tra­se­ñas en sus ser­vi­do­res. Asi­mis­mo, la com­pa­ñía lanzó nue­vas ver­sio­nes de cP­Guard di­se­ña­das para lim­piar los ele­men­tos ma­li­cio­sos de­ja­dos por el script y pu­bli­có los in­di­ca­do­res de com­pro­mi­so co­rres­pon­dien­tes.