ב-2 בנובמבר תוקפים השתמשו בפרטי התחברות גנובים כדי לחדור לרשת הפצת העדכונים של חברת OpsShield, המפתחת של cPGuard. cPGuard היא תוכנת אבטחה לשרתי לינוקס, שחברות אחסון מריצות לצד cPanel, DirectAdmin ו-Plesk. דרך ערוץ העדכונים הרשמי נשלח לשרתים סקריפט זדוני.
מה נגנב
לפי דובר OpsShield, נפגעו 2,946 שרתים. הסקריפט אסף מהשרתים:
- גיבובי סיסמאות (hashes) של משתמשי לינוקס
- הגדרות root של מסדי הנתונים MySQL ו-MariaDB
- היסטוריית הפקודות של root
- קובצי הרשאות SSH של root
החברה עצרה את ההפצה תוך 12 שעות. הגרסאות שנפגעו הן 5.88.12 עד 5.88.19.
למה עדכון לבדו לא מספיק
עדכון לגרסה 5.88.25 ומעלה מסיר את הדלת האחורית, אבל לא מבטל את מה שכבר נגנב. מי שהריץ גרסה פגועה צריך להחליף את כל הסיסמאות, את פרטי הגישה למסדי הנתונים, את מפתחות ה-SSH ואת הסודות בענן.
הלקח הרחב
זו עוד תזכורת שגם כלי אבטחה הם חלק משרשרת האספקה. כל תוכנה שמתעדכנת אוטומטית עם הרשאות root היא נקודת תורפה פוטנציאלית. ארגונים צריכים לדעת אילו כלים כאלה רצים אצלם, ולנטר תעבורה חריגה גם מתוכנות "אמינות".
