Ne oldu

cPGuard güvenlik aracının üreticisi OPSSHIELD, saldırganın 2 Kasım'da güncelleme sistemine girip müşterilerin Linux sunucularına zararlı bir betik gönderdiğini bildirdi. Betik arka kapı kurdu ve parola özetleri ile diğer hassas dosyaları topladı. Saldırgan bu verinin bir kısmını aldı.

Kimler etkileniyor

cPGuard 5.88.12 ile 5.88.19 arası sürümlerden birini kuran tüm sunucular; barındırma sağlayıcıları ve cPanel tabanlı web sunucusu işleten kurumlar. Kaç sunucunun etkilendiğini OPSSHIELD açıklamadı.

Teknik ayrıntı

Saldırgan, ele geçirdiği kimlik bilgileriyle 02.06 UTC'de güncelleme sistemine girdi; saldırı sürümler yayımlandıktan sonraki 12 saat içinde tespit edildi. Şirket altyapı kimlik bilgilerini temizledi ve betiğin yeni sunuculara ulaşmasını durdurdu; kimlik bilgilerinin nasıl ele geçtiğini hâlâ araştırıyor. Betik /etc/shadow ve /etc/passwd dosyalarını, root'un MariaDB/MySQL yapılandırmasını (my.cnf), kabuk geçmişini ve root'un SSH yetki ve bilinen sunucu dosyalarını topladı; hepsini OPSSHIELD'in kendi lisans sunucusuna ele geçirilmiş bir hesapla yükledi. Saldırgan bu sunucudan her biri bir müşteri sunucusuna ait 32 dosya aldı; bu sayı yalnızca bilinen dosyaları kapsıyor ve değişebilir. cPGuard 5.88.25 ve sonrası arka kapıyı ve betiğin bıraktığı dosyaları kaldırıyor, ancak betiğin kopyaladığı kimlik bilgileri hâlâ geçerli olabilir. OPSSHIELD rutin olarak tam sıfırlama veya işletim sistemi yeniden kurulumu önermiyor.

Sunucular güncellemeyi belirli aralıklarla denetlediği için bazıları betiği hiç çalıştırmamış olabilir. Güncelleme günlüğünde 5.88.12–5.88.19 arası bir kayıt, sunucunun etkilenen güncellemeyi kurduğunu gösterir; ancak bu kayıt tek başına betiğin çalıştığını ya da verinin sunucudan çıktığını kanıtlamaz. Sunucu, bugün 5.88.25 veya sonrasını çalıştırsa bile ele geçirilmiş olabileceği varsayımıyla ele alınmalı. Eşleşen kaydı olmayan ya da günlüğü eksik olan sunucu da betiği çalıştırmış olabilir. Güncelleme arka kapı kabuğunu ve toplama dizinini sildiği için bunların yokluğu da bir şey kanıtlamıyor.

/etc/shadow tek yönlü parola özetlerini tutar; zayıf, yaygın ya da daha önce sızmış parolalar bu özetlerden çevrimdışı tahminle bulunabilir, güçlü parolaların da yenilenmesi gerekir. Veri tabanı yapılandırmasında ya da kabuk geçmişinde duran sırlar ise hiç korunmuyor. OPSSHIELD ayrıca önlem olarak, daha önce eklenmiş destek erişim anahtarlarını sunuculardan kaldıran bir güncelleme yayımlıyor; destek erişimi, root'un authorized_keys dosyasına OPSSHIELD'e ait bir SSH açık anahtarı ekliyor. Şirket, bu anahtarın özel karşılığının saldırıda açığa çıkıp çıkmadığını açıklamadı.

Ne yapmalı

  • Tüm cPGuard sunucularını güncelleyip sürümü doğrulayın; güncelleme günlüğünde 5.88.12–5.88.19 kaydı arayın.
  • Etkilenmiş olabilecek sunucularda tüm parolaları, SSH anahtarlarını ve veri tabanı sırlarını yenileyin; kabuk geçmişindeki sırları geçersiz sayın.
  • Günlük eksik ya da belirsizse OPSSHIELD destek ekibine başvurun.
  • root'un authorized_keys dosyasındaki OPSSHIELD destek anahtarını ve tanımadığınız anahtarları gözden geçirin; destek anahtarlarını kaldıran güncellemeyi uygulayın.

Doğrulama

Tek kaynaklı iddia. Ayrıntılar OPSSHIELD bülteninin THN aktarımından okundu; bültenin kendisi açılmadı. Şirket soruşturmanın ve sayıların kesin olmadığını söylüyor.

Görsel: thehackernews.com

Kaynaklar