Linux-servers met beveiligingssoftware cPGuard zijn via een gecompromitteerd updatekanaal besmet met malware die een backdoor installeert en gevoelige gegevens verzamelt.
Linux-servers waarop de beveiligingssoftware cPGuard draait, zijn via een update besmet geraakt met malware. Dit heeft ontwikkelaar OpsShield bekendgemaakt. cPGuard is een beveiligingsoplossing gericht op Linux-web- en hostingservers en biedt onder meer een virusscanner, web application firewall (WAF) en bescherming tegen bruteforce-aanvallen.
De aanvallers wisten het updatekanaal van cPGuard te compromitteren en konden zo gedurende twaalf uur een kwaadaardig script als update verspreiden onder gebruikers. Dit script installeerde een backdoor en verzamelde diverse gevoelige informatie van het besmette systeem, waaronder de inhoud van /etc/shadow en /etc/passwd, root MariaDB/MySQL configuraties, root shell history en root SSH autorisatie- en known-hosts bestanden. Deze data werd vervolgens naar de licentieserver van OpsShield gestuurd, waar de aanvallers toegang hadden via een gecompromitteerd account.
Volgens OpsShield zijn de inloggegevens waarmee toegang tot de update distributie-infrastructuur werd verkregen, gestolen. Hoe deze credentials precies zijn buitgemaakt, wordt nog onderzocht. Gebruikers van cPGuard wordt geadviseerd om zo snel mogelijk te updaten naar versie 5.88.25 of hoger. Volgens de ontwikkelaar is een volledige reset of herbouw van de server niet noodzakelijk, omdat de nieuwste versie de backdoor en het kwaadaardige script verwijdert. Wel dienen beheerders alle wachtwoorden, tokens, sleutels en andere geheimen op het getroffen systeem te vervangen.
