OPSSHIELD сообщила 3 ноября, что атакующий подменил обновление cPGuard — защитного ПО для Linux-хостингов. По оценке разработчика, вредоносный скрипт запустился примерно на 2 950 клиентских серверах с правами root, то есть полным административным доступом.

Согласно расследованию, злоумышленник зарегистрировал пробный клиентский аккаунт, проник через биллинговое приложение в инфраструктуру OPSSHIELD и похитил ключ доступа к хранилищу обновлений. Точный запрос, открывший доступ, в журналах не сохранился: компания закрыла два возможных пути входа. Поддельное обновление распространялось утром 2 ноября примерно 70 минут.

Скрипт собирал хеши паролей, ключи SSH, настройки доступа к MySQL и историю команд администратора, где могли оставаться секреты. Он также оставлял скрытую командную оболочку с правами root. Отдельно OPSSHIELD сообщила о краже данных примерно 7 900 аккаунтов биллингового портала, включая контакты и хешированные пароли.

В раннем бюллетене компания оценивала подтверждённое получение атакующим данных лишь от 32 серверов. Это не число всех заражённых машин: прежний документ теперь прямо отсылает к обновлённому разбору. Полный состав похищенного с каждого сервера пока не установлен.

OPSSHIELD отозвала украденные ключи и выпустила очищающее обновление 5.88.26. Удаление известных вредоносных файлов не отменяет уже состоявшуюся кражу секретов: компания требует заменить пароли и ключи доступа. В этом случае заражение пришло через штатное обновление установленного средства защиты.