Poisoned cPGuard update hits thousands of web hosting servers

Un ata­can­te logró vul­ne­rar la in­fra­es­truc­tu­ra de ac­tua­li­za­ción de cP­Guard, una he­rra­mien­ta de se­gu­ri­dad des­ti­na­da a ser­vi­do­res web Linux, y dis­tri­bu­yó una ver­sión falsa del soft­wa­re a miles de ser­vi­do­res de clien­tes. La em­pre­sa res­pon­sa­ble del pro­duc­to, OPSShield, in­di­có que el in­tru­so tam­bién sus­tra­jo in­for­ma­ción de con­tac­to y con­tra­se­ñas ci­fra­das co­rres­pon­dien­tes a los usua­rios re­gis­tra­dos en su ser­vi­dor de fac­tu­ra­ción y li­cen­cias.

El in­ci­den­te co­men­zó cuan­do el agre­sor subió ver­sio­nes ma­li­cio­sas del pro­gra­ma, las cua­les se ins­ta­la­ron de ma­ne­ra au­to­má­ti­ca en miles de equi­pos y se eje­cu­ta­ron con pri­vi­le­gios de ad­mi­nis­tra­dor. Este script falso re­co­pi­ló y ex­tra­jo ar­chi­vos sen­si­bles, in­clu­yen­do cla­ves de ac­ce­so y his­to­ria­les de co­man­dos, ade­más de dejar ras­tros ocul­tos en los sis­te­mas afec­ta­dos. Pre­via­men­te, el res­pon­sa­ble había in­ves­ti­ga­do el por­tal de fac­tu­ra­ción de la com­pa­ñía tras re­gis­trar­se con una iden­ti­dad falsa y es­tu­diar el fun­cio­na­mien­to del sis­te­ma de li­cen­cias.

La em­pre­sa afec­ta­da ha to­ma­do di­ver­sas me­di­das de mi­ti­ga­ción, como re­vo­car cre­den­cia­les, eli­mi­nar co­pias y ser­vi­do­res clo­na­dos del ata­can­te, y lan­zar ac­tua­li­za­cio­nes lim­pias des­ti­na­das a eli­mi­nar los ele­men­tos ma­li­cio­sos ins­ta­la­dos. Asi­mis­mo, se acon­se­ja a los usua­rios afec­ta­dos que ve­ri­fi­quen si sus equi­pos re­ci­bie­ron la ver­sión falsa, ac­tua­li­cen el soft­wa­re, res­ta­blez­can cla­ves de ac­ce­so y cam­bien cre­den­cia­les com­pro­me­ti­das en bases de datos y ser­vi­cios en la nube.