Des attaquants ont transformé une mise à jour de sécurité fiable en moyen de compromettre près de 3 000 serveurs Linux. Le code malveillant s’est exécuté avec les privilèges root, exposant potentiellement des identifiants sensibles dans les environnements d’hébergement.
Environ 2 950 serveurs exécutant cPGuard ont installé les mises à jour empoisonnées le 2 novembre 2026, après que des attaquants ont compromis l’infrastructure de mise à jour du développeur OPSSHIELD. L’attaque de la chaîne d’approvisionnement de cPGuard a collecté des fichiers sensibles et installé un shell root dissimulé, laissant les administrateurs concernés face à des risques dépassant la compromission initiale.
Andrew Obadiaru, vice-président et responsable de la sécurité des systèmes d’information chez Cobalt, a averti qu’un agent de sécurité privilégié doté de mises à jour automatiques pouvait transformer un seul identifiant compromis en accès à l’ensemble des environnements clients. divulgation de l’incident d’OPSSHIELD a également confirmé l’exposition d’environ 7 900 fiches de comptes de facturation contenant des informations personnelles et des mots de passe hachés avec bcrypt.
Comment les attaquants ont détourné les mises à jour de cPGuard
Le 1er novembre, un attaquant a créé un compte d’essai et examiné les communications de licence de cPGuard. Des requêtes forgées adressées au portail de facturation d’OPSSHIELD ont ensuite permis l’exécution non autorisée de commandes sur son serveur de facturation et de gestion des licences.
L’attaquant a obtenu une clé de stockage des mises à jour et distribué les versions malveillantes 5.88.12 à 5.88.19. Les mises à jour empoisonnées ont été distribuées entre 02:08 et 03:20 UTC le 2 novembre, exposant des risques également observés dans les pipelines de publication de logiciels compromis.
Le script a collecté les hachages de mots de passe Linux, les clés SSH root, les identifiants de bases de données lorsqu’ils étaient présents, ainsi que l’historique du shell susceptible de contenir d’autres secrets. Les identifiants de stockage cloud ont également été ciblés sur certains serveurs, comme lors d’une autre compromission d’un registre de modules Terraform.
Les données collectées ont été téléversées vers l’infrastructure de gestion des licences d’OPSSHIELD en vue d’une récupération ultérieure. Le script a également installé un shell root dissimulé à /var/tmp/.cpg91511_sh.
Dans sa alerte de sécurité initiale, OPSSHIELD a estimé que les attaquants avaient récupéré 32 fichiers collectés, chacun associé à un serveur client différent. Cette estimation préliminaire ne permet pas d’établir l’ampleur totale du vol de données sur les quelque 2 950 serveurs concernés.
L’exposition des identifiants exige davantage qu’une simple correction
OPSSHIELD a publié des mises à jour correctives, mais les identifiants précédemment dérobés peuvent rester utilisables. La version 5.88.25 a introduit des mesures correctives, suivies par la version 5.88.26 et des opérations de nettoyage supplémentaires. La préservation des preuves est également importante, comme l’a souligné un autre incident d’exploitation de SiteGuard WAF.
Les organisations doivent donner la priorité aux mesures suivantes :
- Identifier les installations concernées. Vérifiez
/opt/cpguard/logs/install_logles versions 5.88.12 à 5.88.19. Le fait d’utiliser une version actuelle saine n’exclut pas une compromission antérieure. - Isoler et mettre à jour les serveurs concernés.Préservez les preuves, limitez les connexions inutiles, installez la dernière version fiable et vérifiez la suppression des artefacts malveillants.
- Rechercher les accès non autorisés.Examinez les comptes administratifs, les relations de confiance SSH, les tâches planifiées, les journaux d’authentification et les systèmes connectés afin de détecter une persistance ou un déplacement latéral.
- Renouveler les identifiants exposés.Réinitialisez les mots de passe Linux et des bases de données, remplacez les clés SSH compromises, révoquez les jetons cloud exposés et supprimez les anciennes clés publiques approuvées. Réinitialisez les mots de passe de facturation d’OPSSHIELD et activez l’authentification multifacteur.
- Renforcer les contrôles d’accès des tiers.Dressez l’inventaire des agents de sécurité privilégiés, examinez les mécanismes de mise à jour, supprimez les accès permanents inutiles et améliorez la surveillance.
- Tester les plans de réponse aux incidents.Simulez des mises à jour compromises et des vols d’identifiants afin de valider l’isolement, l’investigation, le renouvellement des identifiants et la reprise.
OPSSHIELD recommande une reconstruction à partir d’une sauvegarde saine antérieure au 1er novembre lorsqu’un accès interactif de l’attaquant a été confirmé. D’autres systèmes peuvent nécessiter une reconstruction si leur intégrité ne peut pas être établie.
L’entreprise affirme avoir révoqué les identifiants compromis et commencé à reconstruire l’infrastructure concernée. Les enquêteurs évaluent toujours l’ampleur totale du vol de données et d’éventuelles intrusions ultérieures, ce qui fait des identifiants potentiellement exposés un problème de sécurité persistant.
À lire : les compromissions de serveurs PaperCut illustrent comment des attaquants peuvent exploiter des applications d’entreprise privilégiées pour accéder aux identifiants et aux systèmes connectés.