Angreifer machten aus einem vertrauenswürdigen Sicherheitsupdate ein Mittel, um fast 3.000 Linux-Server zu kompromittieren. Der Schadcode wurde mit Root-Rechten ausgeführt und konnte dadurch vertrauliche Zugangsdaten in Hosting-Umgebungen offenlegen.
Am 2. November 2026 führten etwa 2.950 Server mit cPGuard die manipulierten Updates aus, nachdem Angreifer in die Update-Infrastruktur des Entwicklers OPSSHIELD eingedrungen waren. Der Angriff auf die cPGuard-Lieferkette sammelte vertrauliche Dateien und installierte eine versteckte Root-Shell, wodurch betroffene Administratoren mit Risiken konfrontiert sind, die über den ursprünglichen Angriff hinausgehen.
Andrew Obadiaru, Vice President und Chief Information Security Officer bei Cobalt, warnte, dass ein privilegierter Sicherheitsagent mit automatischen Updates eine einzige kompromittierte Zugangsinformation in Zugriff auf Kundenumgebungen verwandeln kann. Offenlegung des Sicherheitsvorfalls durch OPSSHIELD bestätigte außerdem die Offenlegung von etwa 7.900 Datensätzen zu Rechnungskonten mit personenbezogenen Informationen und bcrypt-Hash-Passwörtern.
So kaperten Angreifer die cPGuard-Updates
Am 1. November registrierte ein Angreifer ein Testkonto und untersuchte die Lizenzkommunikation von cPGuard. Im Anschluss ermöglichten speziell präparierte Anfragen an das Abrechnungsportal von OPSSHIELD die unbefugte Ausführung von Befehlen auf dessen Abrechnungs- und Lizenzserver.
Der Angreifer erlangte einen Schlüssel für den Update-Speicher und verteilte die manipulierten Versionen 5.88.12 bis 5.88.19. Die manipulierten Updates wurden am 2. November zwischen 02:08 und 03:20 UTC verteilt und offenbarten Risiken, wie sie auch bei kompromittierten Software-Veröffentlichungs-Pipelines zu beobachten sind.
Das Skript sammelte Linux-Passwort-Hashes, Root-SSH-Schlüssel, sofern vorhanden Datenbankzugangsdaten sowie die Shell-Historie, die möglicherweise weitere Geheimnisse enthielt. Auf einigen Servern zielte es außerdem auf Zugangsdaten für Cloud-Speicher ab – ähnlich wie bei einem separaten Angriff auf eine Terraform-Modulregistrierung.
Die gesammelten Daten wurden zur späteren Abholung in die Lizenzinfrastruktur von OPSSHIELD hochgeladen. Das Skript installierte außerdem eine versteckte Root-Shell unter /var/tmp/.cpg91511_sh.
In seinem ersten Sicherheitshinweisschätzte OPSSHIELD, dass Angreifer 32 gesammelte Dateien abgerufen hatten, die jeweils einem anderen Kundenserver zugeordnet waren. Diese vorläufige Schätzung sagt nichts über das vollständige Ausmaß des Datendiebstahls auf den etwa 2.950 betroffenen Servern aus.
Die Offenlegung von Zugangsdaten erfordert mehr als nur Patches
OPSSHIELD veröffentlichte korrigierte Updates, doch zuvor gestohlene Zugangsdaten könnten weiterhin verwendbar sein. Version 5.88.25 führte Korrekturmaßnahmen ein, gefolgt von Version 5.88.26 und weiteren Bereinigungen. Auch die Beweissicherung ist wichtig, wie ein separater Ausnutzungsfall bei SiteGuard WAF gezeigt hat.
Organisationen sollten diese Maßnahmen priorisieren:
- Betroffene Installationen identifizieren. Auf
/opt/cpguard/logs/install_logVersionen 5.88.12 bis 5.88.19 prüfen. Eine aktuell saubere Version schließt eine frühere Kompromittierung nicht aus. - Betroffene Server eindämmen und aktualisieren. Beweise sichern, unnötige Verbindungen einschränken, die neueste vertrauenswürdige Version installieren und die Entfernung schädlicher Artefakte überprüfen.
- Unbefugten Zugriff untersuchen. Administrative Konten, SSH-Vertrauensbeziehungen, geplante Aufgaben, Authentifizierungsprotokolle und verbundene Systeme auf Persistenz oder laterale Bewegungen untersuchen.
- Offengelegte Zugangsdaten austauschen. Linux- und Datenbankpasswörter zurücksetzen, kompromittierte SSH-Schlüssel ersetzen, offengelegte Cloud-Tokens widerrufen und alte vertrauenswürdige öffentliche Schlüssel entfernen. Die OPSSHIELD-Abrechnungspasswörter zurücksetzen und die Multifaktor-Authentifizierung aktivieren.
- Zugriffskontrollen für Drittanbieter stärken. Privilegierte Sicherheitsagenten inventarisieren, Update-Mechanismen überprüfen, unnötige dauerhafte Zugriffsrechte entfernen und die Überwachung verbessern.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen. Kompromittierte Updates und den Diebstahl von Zugangsdaten simulieren, um Eindämmung, Untersuchung, Austausch von Zugangsdaten und Wiederherstellung zu validieren.
OPSSHIELD empfiehlt, von einem sauberen Backup wiederherzustellen, das vor dem 1. November erstellt wurde, sobald interaktiver Zugriff eines Angreifers bestätigt wurde. Bei anderen Systemen kann eine Wiederherstellung ebenfalls angebracht sein, wenn sich ihre Integrität nicht feststellen lässt.
Das Unternehmen gibt an, die kompromittierten Zugangsdaten widerrufen und mit der Wiederherstellung der betroffenen Infrastruktur begonnen zu haben. Die Ermittler prüfen weiterhin das vollständige Ausmaß des Datendiebstahls und möglicher Folgeangriffe. Damit bleiben potenziell offengelegte Zugangsdaten ein fortbestehendes Sicherheitsrisiko.
Mehr dazu: Die Kompromittierungen von PaperCut-Servernzeigen, wie Angreifer privilegierte Unternehmensanwendungen nutzen können, um auf Zugangsdaten und verbundene Systeme zuzugreifen.