cPGuard: ערוץ העדכונים נחטף והתקין דלת אחורית בשרתי לינוקס

היצרן OPSSHIELD הודיע שערוץ העדכונים של כלי האבטחה cPGuard נפרץ ושימש להפצת סקריפט זדוני לשרתי לינוקס. הסקריפט התקין דלת אחורית ואסף נתוני הזדהות רגישים, ולכן מי שהתקין את הגרסאות המושפעות צריך לבדוק את השרת ולא רק לעדכן.

הפרטים

לפי הודעת היצרן, כפי שדווח ב-The Hacker News, תוקף שלא זוהה נכנס ב-2 בנובמבר 2026 בסביבות 02:06 UTC למערכת העדכונים באמצעות פרטי גישה שנפגעו. הגרסאות 5.88.12 עד 5.88.19 הפיצו את הסקריפט, והפרצה זוהתה בתוך כ-12 שעות.

הסקריפט התקין מעטפת אחורית ואסף את /etc/shadow ו-/etc/passwd, את קובץ my.cnf של משתמש root, את היסטוריית הפקודות ואת קבצי ה-SSH של root. הנתונים הועלו לשרת הרישוי של היצרן, ומשם התוקף משך כ-32 קבצים, כל אחד של שרת לקוח אחד (הערכה ראשונית שעשויה להשתנות). היצרן עדיין חוקר איך התוקף השיג את פרטי הגישה, ולא אמר אם המפתח הפרטי של גישת התמיכה שלו נחשף.

נקודות לשים לב

עדכן לגרסה 5.88.25 ומעלה באמצעות cpgcli update --start, ואמת עם cpgcli --version.
בדוק אם הותקנה גרסה מושפעת: grep 'Successfully updated' /opt/cpguard/logs/install_log. התאמה אינה מוכיחה שהסקריפט רץ, ויומן חסר אינו מוכיח שהשרת נקי.
חפש סימנים: cpguard-v58812-i91511.sh, /var/tmp/.cpg91511_sh, /var/tmp/.cpg91511. העדכון מסיר קבצים אלה, ולכן היעדרם לא מוכיח שהסקריפט לא רץ.
בשרת שהסקריפט רץ או עשוי היה לרוץ בו, התייחס אליו כנפגע: אפס סיסמאות root וחשבונות מקומיים, החלף סיסמאות מסד נתונים, מפתחות S3 וטוקנים, והחלף מפתחות SSH של root.
היצרן לא ממליץ כרגע על בנייה מחדש של כל שרת, אך זה עשוי להשתנות; אם אינך בטוח שהשרת נקי, פנה אליו לבדיקה פרטנית.