cPGuard bị tấn công, cài backdoor trên server Linux
"The cPGuard security tool's update channel was compromised, allowing an attacker to deploy a malicious script to customer Linux servers between versions 5.88.12 and 5.88.19. This script installed a backdoor, collected sensitive data including password hashes (/etc/shadow, /etc/passwd), database configurations, shell history, and SSH keys, and exfiltrated it to a compromised account on an OPSSHIELD server. Versions 5.88.25 and later address the backdoor, but password resets and key rotations are recommended for potentially affected systems."
Sự cố xâm nhập hệ thống cập nhật và cài đặt backdoor cho phép kẻ tấn công truy cập dữ liệu nhạy cảm như password hash và cấu hình server.
Các doanh nghiệp sử dụng cPGuard có thể bị mất dữ liệu, gián đoạn dịch vụ, và thiệt hại uy tín do sự cố này. Việc khắc phục cần nguồn lực kỹ thuật và thời gian.
Ngày 2/11, kẻ tấn công đã xâm nhập hệ thống cập nhật của cPGuard và sử dụng nó để phân phối một script độc hại đến các server Linux của khách hàng.
Script này cài backdoor và thu thập password hash cùng các file nhạy cảm. OPSSHIELD, nhà phát triển cPGuard, cho biết kẻ tấn công đã lấy được một số dữ liệu này. Các phiên bản cPGuard 5.88.25 trở lên đã loại bỏ backdoor, nhưng người dùng cần thay đổi mật khẩu và SSH key cho các hệ thống có thể đã bị ảnh hưởng.
Kẻ tấn công đã truy cập hệ thống cập nhật cPGuard lúc 02:06 UTC bằng tài khoản bị xâm nhập. Script độc hại được gửi đến các server sử dụng cPGuard phiên bản 5.88.12 đến 5.88.19. OPSSHIELD phát hiện sự việc trong vòng 12 giờ sau khi các phiên bản này được phát hành. Họ đã khôi phục quyền truy cập và ngăn chặn script tiếp cận thêm server, đồng thời đang điều tra nguyên nhân.
OPSSHIELD chưa công bố số lượng server bị ảnh hưởng. Server kiểm tra cập nhật theo chu kỳ, nên không phải server nào cũng nhận được script. Quản trị viên có thể kiểm tra bằng lệnh grep 'Successfully updated' /opt/cpguard/logs/install_log. Nếu log ghi nhận phiên bản từ 5.88.12 đến 5.88.19, server có thể đã cài đặt bản cập nhật độc hại. Tuy nhiên, ngay cả khi đã cập nhật lên 5.88.25 trở lên, server vẫn cần được xem là có khả năng bị xâm nhập.
Script thu thập các file /etc/shadow, /etc/passwd, cấu hình MariaDB/MySQL (my.cnf) của root, lịch sử shell của root, và file SSH authorization/known-hosts của root. OPSSHIELD đang xác định chính xác dữ liệu nào đã bị lấy từ mỗi server. File /etc/shadow chứa password hash, có thể bị bẻ khóa nếu mật khẩu yếu hoặc đã bị lộ. Các bí mật khác trong cấu hình database hoặc lịch sử shell không được bảo vệ bởi hashing.
Script tải dữ liệu lên một server licensing do OPSSHIELD quản lý, sử dụng tài khoản đã bị xâm nhập. OPSSHIELD đã bảo mật tài khoản này. Họ ước tính 32 file, mỗi file liên quan đến một server khách hàng, đã bị lấy đi. Con số này có thể thay đổi.
Ngoài thu thập dữ liệu và cài backdoor, OPSSHIELD chưa phát hiện thêm hoạt động độc hại nào. Họ cũng đang loại bỏ các key truy cập hỗ trợ khỏi server cPGuard như một biện pháp phòng ngừa.
OPSSHIELD khuyến nghị quản trị viên cập nhật cPGuard ngay lập tức bằng lệnh cpgcli update --start và kiểm tra phiên bản bằng cpgcli --version. Nếu cập nhật thất bại hoặc phiên bản thấp hơn 5.88.25, hãy liên hệ hỗ trợ OPSSHIELD.
Câu hỏi thường gặp
cPGuard là gì?
cPGuard là một công cụ bảo mật được sử dụng để bảo vệ các server Linux. Phiên bản bị ảnh hưởng là từ 5.88.12 đến 5.88.19.
Script độc hại làm gì?
Script cài backdoor, thu thập password hash, cấu hình database, lịch sử shell và SSH key. Dữ liệu này được tải lên server của OPSSHIELD.
Làm thế nào để kiểm tra xem server có bị ảnh hưởng không?
Kiểm tra file log /opt/cpguard/logs/install_log xem có mục nào ghi nhận phiên bản từ 5.88.12 đến 5.88.19 không. Nếu có, server có thể đã bị ảnh hưởng.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc cập nhật phần mềm bảo mật thường xuyên. Các doanh nghiệp Việt Nam sử dụng cPGuard cần kiểm tra log và thực hiện các bước khắc phục ngay lập tức. Điều đáng chú ý là việc thay đổi mật khẩu và SSH key là bắt buộc, ngay cả sau khi cập nhật lên phiên bản mới nhất.