La empresa de ciberseguridad india OpsShield, especializada en la protección de servidores y software de seguridad web, sufrió un ataque cibernético doble que tuvo como objetivo su infraestructura de distribución de actualizaciones. El ataque resultó en la difusión de versiones maliciosas de la popular herramienta de protección de servidores web cPGuard a los clientes de la empresa durante un breve periodo de tiempo.
Según las investigaciones y los avisos emitidos por la empresa, los atacantes comenzaron hackeando su servidor de facturación y licencias mediante el registro de una nueva cuenta de cliente y el estudio del mecanismo de comunicación con el sistema de licencias, lo que les permitió ejecutar comandos y extraer datos antes de utilizar una clave de acceso robada para cargar una actualización falsa que contenía código malicioso.
Este ataque afectó a las versiones de la herramienta cPGuard de la 5.88.12 a la 5.88.19, las cuales se distribuyeron durante aproximadamente 70 minutos antes de que se descubriera la vulnerabilidad dentro de las 12 horas posteriores a su ocurrencia. Se estima que cerca de 2,950 servidores ejecutaron la actualización falsa, mientras que los atacantes lograron copiar datos de aproximadamente 7,900 registros de cuentas de clientes, que incluyen nombres, empresas, direcciones, correos electrónicos y contraseñas cifradas.
¿Qué implica este hackeo en la práctica?
El script malicioso provocó la ejecución de varias tareas en los servidores de los clientes afectados, que incluyeron la recopilación de datos y su carga al servidor de licencias comprometido, la creación de una shell de raíz oculta (Root Shell), además de la colocación de archivos adicionales en el directorio temporal (Temp). Los atacantes lograron recuperar 32 archivos agregados de varios servidores de clientes, además de copiar tres servidores en la nube pertenecientes a la empresa.
A la luz de estos datos, la empresa recomendó considerar que todas las claves SSH de raíz, las contraseñas de las bases de datos MySQL, los registros de comandos y las contraseñas del portal de facturación han sido completamente comprometidas, subrayando la necesidad de rotarlas y cambiarlas de inmediato, incluso para aquellos clientes cuyos servidores no se conectaron durante el incidente.
Medidas correctivas y respuesta de la empresa
OpsShield tomó una serie de medidas estrictas para contener la brecha, que incluyeron:
- Expulsar a los atacantes de todos los servidores afectados y restablecer los secretos y las credenciales internas.
- Eliminar las claves SSH de los atacantes y los activos clonados de las cuentas en la nube.
- Reemitir todas las claves de licencia públicas y privadas del software cPGuard.
- Finalizar todas las sesiones de inicio de sesión del portal de facturación y rotar las claves de la interfaz de programación de aplicaciones (API).
- Reconstruir los servidores de facturación, licencias y gestión interna desde cero.
- Lanzar nuevas versiones limpias del software (versión 5.88.25 y posteriores) para eliminar la shell de raíz y los archivos ocultos restantes.