cPGuard更新通道遭到入侵，近3千臺伺服器被植入惡意程式

伺服器資安防護軟體cPGuard發生供應鏈攻擊事件，駭客滲透其更新基礎設施，導致用戶主機被植入惡意軟體。軟體開發商OpsShield於11月3日指出，攻擊者入侵其帳務及授權伺服器，取得軟體更新所需的存取金鑰，進而竄改cPGuard更新內容，透過軟體更新通道向客戶伺服器散布惡意程式，約有2,950臺伺服器下載遭竄改的更新檔並執行而中招。除此之外，攻擊者也從OpsShield帳務系統竊得約7,900筆客戶帳號資料，涉及姓名、公司名稱、郵寄地址、電子郵件，以及密碼雜湊值。對此，OpsShield在攻擊者推送惡意更新的半天內察覺此事，阻止惡意更新散布，並對於被入侵的帳號採取保護措施，但攻擊者如何得到該帳號的憑證，該公司表示有待進一步調查。

事件發生在世界協調時間（UTC）11月2日凌晨2時6分，攻擊者利用外流的憑證，在未經授權的情況下存取OpsShield更新基礎設施，藉此利用cPGuard的更新通道散布惡意指令碼。若是cPGuard於11月2日凌晨2時8分至3時20分之間檢查並安裝更新，或是cPGuard的版本為5.88.12至5.88.19版，代表用戶可能已安裝了惡意更新，此更新檔以root權限執行，蒐集系統敏感檔案並回傳攻擊者控制的伺服器。

攻擊者收集的資料包括Linux帳號密碼雜湊檔案/etc/shadow、帳號資訊/etc/passwd、root帳號SSH私鑰與授權金鑰、MySQL資料庫root密碼，以及root使用者的Shell執行記錄。此外，部分伺服器的S3雲端儲存存取金鑰也受到影響。值得留意的是，惡意更新還會在系統留下隱藏的root Shell及工作排程，以維持攻擊者對受害伺服器的存取能力。

針對此事的後續處理，OpsShield已撤銷遭竊取的更新金鑰及雲端存取憑證，並發布修正版cPGuard 5.88.26，該版本可移除惡意更新留下的後門與相關工具，該公司呼籲受影響用戶儘速套用，並輪替或重設特定的憑證，以降低攻擊事故帶來的風險。