Napadač distribuirao zlonamernu skriptu preko kanala za ažuriranje cPGuard-a
OPSSHIELD je potvrdio zloupotrebu kanala za ažuriranje cPGuard-a. Administratori treba da instaliraju verziju 5.88.25 ili noviju i provere da li je server ranije preuzeo neko od pogođenih izdanja.
Šta se desilo?
Prema kompaniji OPSSHIELD, napadač je 2. novembra 2026. u 02:06 UTC upotrebio kompromitovane pristupne podatke da preko infrastrukture za ažuriranje cPGuard-a distribuira zlonamernu skriptu. Skripta je ostavljala skriveni pristup na serveru i slala prikupljene podatke na server proizvođača za licenciranje. OPSSHIELD je zaustavio distribuciju i istražuje kako je napadač došao do pristupnih podataka.
Koga pogađa?
Administratori Linux hosting servera treba da provere da li je instalirano neko od izdanja od 5.88.12 do 5.88.19, čak i ako server danas koristi noviju verziju. Zapis o ažuriranju potvrđuje instalaciju. Da li se skripta izvršila i koje je podatke poslala mora se utvrditi za svaki server posebno.
Kako se zaštititi?
- Ažurirajte cPGuard komandom cpgcli update --start. Zatim komandom cpgcli --version proverite da li je instalirana verzija 5.88.25 ili novija.
- Proverite istoriju u datoteci /opt/cpguard/logs/install_log. Ako pronađete pogođeno izdanje, tretirajte server kao potencijalno kompromitovan. Ako je evidencija nepotpuna, obratite se podršci.
- Na potencijalno pogođenom serveru promenite lozinke za root i ostale lokalne naloge koji koriste lozinku, iz pouzdanog okruženja za oporavak.
- Opozovite izložene pristupne podatke za baze i cloud servise. Zamenite privatne SSH ključeve sa pogođenog servera i uklonite odgovarajuće stare javne ključeve sa sistema koji im veruju.
Tehnički detalji
Skripta je prikupljala, između ostalog, heševe lozinki iz datoteke /etc/shadow, konfiguraciju baze i istoriju komandi naloga root. Ispravka uklanja poznati backdoor /var/tmp/.cpg91511_sh i direktorijum /var/tmp/.cpg91511. OPSSHIELD procenjuje da je napadač sa servera za licenciranje preuzeo 32 prikupljene datoteke, svaku povezanu sa jednim korisničkim serverom. Ukupan broj potencijalno pogođenih servera još se utvrđuje.
Zašto je važno?
Pristupni ključ kopiran pre čišćenja servera može i dalje važiti na drugom sistemu. Administrator zato treba da utvrdi gde su se koristili isti ključevi i lozinke, posebno za baze podataka i udaljeni pristup.
Preporuka Sajber Radara
Za svaki server zabeležite prethodnu i trenutnu verziju, pronađene tragove i pristupne podatke koje ste zamenili. Ako postoje dodatni tragovi upada ili se integritet servera ne može potvrditi, sa podrškom proizvođača procenite potrebu za ponovnom instalacijom.