cPGuard Violato: update-trappola infetta 2950 server Linux con backdoor e furto credenziali

Un grave incidente di sicurezza ha colpito cPGuard, uno strumento usato per proteggere server Linux. Un attaccante è riuscito a compromettere il canale di aggiornamento e ha distribuito uno script malevolo che, una volta installato, ha inserito una backdoor e ha raccolto informazioni sensibili dai sistemi colpiti.

Secondo le comunicazioni del produttore, circa 2950 server clienti hanno eseguito lo script durante una finestra temporale limitata, con conseguente esfiltrazione dei file raccolti verso un’infrastruttura controllata dall’attaccante.

Le versioni coinvolte risultano comprese tra 5.88.12 e 5.88.19. L’attacco è stato avviato tramite credenziali compromesse che hanno permesso l’accesso al sistema di update. La distribuzione è stata individuata entro 12 ore e sono state avviate azioni di contenimento, tra cui la rotazione delle credenziali interne e il blocco della catena di consegna dannosa. In seguito è emerso che il punto di ingresso era collegato anche a un server di billing e licensing, elemento tipico di scenari di supply chain in cui un componente centrale viene usato per colpire molti obiettivi.

Verifica dell’impatto sui server

Per verificare se un server ha installato un aggiornamento impattato, gli amministratori possono controllare i log di installazione e cercare la stringa di aggiornamento riuscito e le versioni indicate. Anche se la presenza nel log non dimostra con certezza che lo script abbia esfiltrato dati, il sistema va trattato come potenzialmente compromesso e sottoposto a risposta incidenti.

Dati e file potenzialmente esfiltrati

Lo script ha letto file critici come:

• /etc/shadow e /etc/passwd
• Chiavi private SSH in /root/.ssh
• Eventuali credenziali MySQL in /root/.my.cnf
• Cronologia della shell di root
• In alcuni casi, chiavi di storage cloud in /root/.s3cfg

Il furto di hash password aumenta il rischio di cracking offline, mentre segreti in chiaro come token e password di database possono essere riutilizzati subito.

Mitigazione e azioni consigliate

La mitigazione richiede:

• Aggiornamento alla versione più recente
• Rimozione di eventuali residui come task pianificati e directory temporanee
• Rotazione completa di password, chiavi SSH e credenziali cloud

È consigliabile rigenerare le chiavi, rimuovere le vecchie authorized_keys non riconosciute e considerare esposti anche i server raggiungibili tramite le chiavi sottratte.