El 2 de noviembre, entre 02:08 y 03:20 UTC, una actualización falsa de cPGuard (versiones 5.88.12 a 5.88.19) se instaló como root en unas 2.950 instalaciones y copió /etc/shadow, claves SSH de root, la contraseña de MySQL y el historial del shell a un servidor del atacante. OpsShield dice que el atacante entró por su portal de facturación con una cuenta falsa; pide actualizar a 5.88.25 o superior y rotar contraseñas, claves y tokens. Unas 7.900 cuentas del portal quedaron expuestas.
El Resumen (Sin rodeos)
El 2 de noviembre, entre 02:08 y 03:20 UTC, una actualización FALSA de cPGuard (versiones 5.88.12 a 5.88.19) se instaló como root en unas 2.950 instalaciones y copió /etc/shadow, las claves SSH de root, la contraseña de MySQL y el historial del shell a un servidor del atacante. OpsShield — la empresa afectada — dice que el atacante entró por su portal de facturación con una cuenta falsa. Pide actualizar a 5.88.25 o superior y rotar contraseñas, claves y tokens; además, unas 7.900 cuentas del portal quedaron expuestas.
Lo primero que se me viene a la mente
El guion perfecto del supply chain: el parche llega a tu servidor, tú confías, y el parche era el atacante. Instalado como root entre las 2:08 y las 3:20 de la madrugada — horario de nadie mirando — con un botín que incluye shadow, claves SSH y MySQL: o sea, el llavero completo de la máquina. Lo más vergonzoso del caso es la puerta de entrada: una cuenta falsa en el portal de facturación, o sea, ni siquiera fue un ataque sofisticado, fue colarse por donde nadie revisa. Si tienes cPGuard: actualizar YA y rotar todo lo que sea contraseña, clave o token.
¿Quién es quién en la noticia?
- cPGuard — El software de seguridad cuyo canal de actualización fue secuestrado para repartir el malware.
- OpsShield — La empresa responsable del producto; divulgó el incidente y pide actualizar y rotar.
- Actualización falsa — El mecanismo: un paquete malicioso que llega por el canal legítimo de updates.
- /etc/shadow, claves SSH y MySQL — Los secretos copiados: contraseñas de usuarios, accesos remotos y base de datos.
- Portal de facturación — La puerta de entrada: el atacante se registró con una cuenta falsa desde ahí.
Compartir