Un atacante no identificado comprometió el canal de actualizaciones de cPGuard, una herramienta de seguridad para servidores de hosting Linux, con el fin de distribuir un script malicioso. Este ataque permitió la instalación de una puerta trasera (backdoor) y la recopilación de archivos confidenciales. OPSSHIELD confirmó el robo de datos y recomienda a los administradores instalar urgentemente la versión 5.88.25 o posterior.

Un atacante no identificado comprometió el canal de actualización de cPGuard, una herramienta de seguridad utilizada en servidores de alojamiento Linux, para distribuir un script malicioso que instalaba una puerta trasera (backdoor) y recopilaba archivos sensibles. OPSSHIELD confirmó que el atacante recuperó algunos datos robados e instó a los administradores a instalar la versión 5.88.25 o posterior de inmediato.

Según el aviso de seguridad de OPSSHIELD, la brecha comenzó el 2 de noviembre de 2026, a las 02:06 UTC. El atacante utilizó credenciales comprometidas para acceder a la infraestructura de distribución de actualizaciones de la empresa, o CDN. Cómo se obtuvieron esas credenciales sigue bajo investigación.

Ataque a la cadena de suministro de cPGuard

El atacante distribuyó el script a través de las versiones de cPGuard desde la 5.88.12 hasta la 5.88.19. OPSSHIELD detectó el ataque a las 12 horas de que las actualizaciones afectadas estuvieran disponibles, aseguró la cuenta comprometida, limpió las credenciales de la infraestructura y detuvo la distribución. Debido a que los servidores buscan actualizaciones a intervalos, es posible que algunos no hayan ejecutado el script malicioso.

El ataque convirtió una actualización de seguridad confiable en una ruta para la entrega de malware. La cobertura relacionada sobre los flujos de trabajo de Terraform comprometidos muestra otra forma en que los atacantes han utilizado procesos de software confiables para entregar puertas traseras. El incidente de cPGuard implicó específicamente el robo del acceso a la infraestructura de distribución del proveedor.

El script malicioso recopiló archivos de cuentas de Linux, incluyendo /etc/shadow y /etc/passwd, la configuración de root de MariaDB o MySQL, el historial de la shell de root, y los archivos de autorización SSH y known-hosts de root. OPSSHIELD no ha establecido que se haya recopilado cada archivo listado de todos los servidores afectados.

Los datos recopilados fueron enviados al propio servidor de licencias de OPSSHIELD bajo una cuenta comprometida, donde el atacante podía recuperarlos más tarde. En una actualización del 3 de noviembre, la empresa estimó que el atacante recuperó 32 archivos recopilados, cada uno correspondiente a un servidor de cliente. Esa cifra preliminar mide la recuperación confirmada, no el número total de servidores potencialmente afectados.

Las contraseñas de Linux en /etc/shadow se almacenan como hashes en lugar de contraseñas legibles. Los atacantes pueden probar suposiciones de contraseñas contra los hashes robados fuera de línea, lo que hace que las contraseñas débiles o reutilizadas sean particularmente riesgosas. La configuración de la base de datos y el historial de la shell pueden contener otros secretos sin esa protección.

La preocupación más amplia es la reutilización de credenciales más allá del servidor original. Anteriormente se cubrió el robo de credenciales de QLNX dirigido a desarrolladores de Linux, otro caso que resalta el valor de las claves SSH y las credenciales de la nube para los atacantes. No se ha establecido ninguna conexión entre estos incidentes.

Debes revisar el historial de actualizaciones con grep 'Successfully updated' /opt/cpguard/logs/install_log. Las entradas que muestran las versiones 5.88.12 a 5.88.19 confirman la instalación de una actualización afectada, pero no prueban la ejecución del script o la transferencia de datos. Los registros faltantes o incompletos tampoco pueden establecer que un servidor escapó del compromiso.

Los indicadores conocidos incluyen el script cpguard-v58812-i91511.sh, la shell de la puerta trasera /var/tmp/.cpg91511_sh, el directorio de recolección /var/tmp/.cpg91511 y el archivo comprimido preparado /var/tmp/.cpg91511/loot.tgz. Su ausencia después de la limpieza no descarta una ejecución previa.

OPSSHIELD te instruye a ejecutar cpgcli update --start y luego verificar cpgcli --version para confirmar la versión 5.88.25 o posterior. Si tus actualizaciones fallan, debes contactar al Soporte de OPSSHIELD. La actualización correctiva elimina la puerta trasera conocida y los archivos preparados, pero no puede invalidar las credenciales que ya fueron copiadas.

Los servidores potencialmente comprometidos requieren restablecimientos de contraseña para root y otras cuentas locales habilitadas con contraseña desde un entorno de recuperación confiable. Debes rotar las contraseñas de bases de datos afectadas, las claves S3, los tokens de DigitalOcean y los secretos expuestos en el historial de la shell. Debes reemplazar las claves privadas en /root/.ssh y eliminar las antiguas claves públicas correspondientes donde sea que estén confiadas.

OPSSHIELD también está lanzando una actualización para eliminar las claves de acceso de soporte añadidas previamente. Actualmente no recomienda reconstrucciones rutinarias del servidor, pero esa orientación sigue siendo provisional. Signos adicionales de compromiso o una integridad incierta del servidor pueden justificar la reconstrucción después de una evaluación individual.

Fuentes:
https://cybersecuritynews.com/cpguard-supply-chain-attack/