L'entreprise de cybersécurité indienne « OpsShield », spécialisée dans la protection des serveurs et les logiciels de sécurité Web, a subi une cyberattaque double ciblant son infrastructure de distribution de mises à jour. L'attaque a entraîné la diffusion de versions malveillantes de l'outil de protection de serveurs Web populaire « cPGuard » aux clients de l'entreprise pendant une courte période.
Selon les enquêtes et les notifications émises par l'entreprise, les attaquants ont commencé par compromettre son serveur de facturation et de licence en enregistrant un nouveau compte client et en étudiant le mécanisme de communication avec le système de licence, ce qui leur a permis d'exécuter des commandes et d'extraire des données avant d'utiliser une clé d'accès volée pour télécharger une mise à jour factice contenant des codes malveillants.
Cette attaque a affecté les versions 5.88.12 à 5.88.19 de l'outil « cPGuard », qui ont continué à être distribuées pendant environ 70 minutes avant que la vulnérabilité ne soit découverte dans les 12 heures suivant l'incident. Les estimations indiquent qu'environ 2 950 serveurs ont exécuté la mise à jour factice, tandis que les attaquants ont réussi à copier les données d'environ 7 900 enregistrements de comptes clients, comprenant les noms, les entreprises, les adresses, les adresses e-mail et les mots de passe chiffrés.
Quelles sont les conséquences concrètes de cette compromission ?
Le script malveillant a exécuté plusieurs tâches sur les serveurs des clients affectés, notamment la collecte de données et leur téléchargement vers le serveur de licence compromis, la création d'un shell racine caché (Root Shell), ainsi que le placement de fichiers supplémentaires dans le dossier temporaire (Temp). Les attaquants ont réussi à récupérer 32 fichiers agrégés provenant de différents serveurs clients, en plus de copier trois serveurs cloud appartenant à l'entreprise.
À la lumière de ces données, l'entreprise a recommandé de considérer toutes les clés SSH root, les mots de passe des bases de données MySQL, les journaux de commandes et les mots de passe du portail de facturation comme étant entièrement compromis, et de les faire pivoter et de les changer immédiatement, même pour les clients dont les serveurs n'ont pas été connectés au moment de l'incident.
Mesures correctives et réponse de l'entreprise
OpsShield a pris une série de mesures strictes pour contenir la compromission, comprenant :
- L'expulsion des attaquants de tous les serveurs affectés et la réinitialisation des secrets et des identifiants internes.
- La suppression des clés SSH des attaquants et des actifs répliqués à partir des comptes cloud.
- La réémission de toutes les clés de licence publiques et privées pour le logiciel cPGuard.
- La terminaison de toutes les sessions de connexion au portail de facturation et la rotation des clés API.
- La reconstruction des serveurs de facturation, de licence et de gestion interne à partir de zéro.
- Le lancement de nouvelles versions propres du logiciel (version 5.88.25 et ultérieures) pour supprimer le shell racine et les fichiers cachés restants.