サーバー保護およびウェブセキュリティソフトウェアを専門とするインドのサイバーセキュリティ企業「OpsShield」が、自社のアップデート配信インフラを標的とした二重のサイバー攻撃を受けた。この攻撃により、同社の有名なウェブサーバー保護ツール「cPGuard」の悪意のあるバージョンが、短期間のうちに同社の顧客へ配信された。
同社の調査および通知によると、攻撃者は新しい顧客アカウントを登録し、ライセンスシステムへの通信メカニズムを調査することで、同社の請求およびライセンスサーバーへの侵害を開始した。これにより、コマンドの実行とデータの抽出が可能となり、その後、盗まれたアクセスキーを使用して、悪意のあるコードを含む偽のアップデートをアップロードした。
この攻撃は、cPGuardツールのバージョン5.88.12から5.88.19に影響を及ぼした。このバージョンは、発生から12時間以内に脆弱性が発見されるまで、約70分間にわたって配信され続けた。推定では、約2,950台のサーバーが偽のアップデートを実行し、攻撃者は名前、会社名、住所、メールアドレス、暗号化されたパスワードを含む、約7,900件の顧客アカウントレコードのデータをコピーすることに成功した。
この侵害による実質的な影響は？
悪意のあるスクリプトは、影響を受けた顧客のサーバー上で、データの収集と侵害されたライセンスサーバーへのアップロード、隠しルートシェル（Root Shell）の作成、およびTempフォルダへの追加ファイルの配置を含む、複数のタスクを実行させた。攻撃者は、さまざまな顧客のサーバーから32個の集約されたファイルを回収することに成功したほか、同社が所有する3つのクラウドサーバーをコピーした。
これらのデータに基づき、同社は、すべてのルートSSHキー、MySQLデータベースのパスワード、コマンドログ、および請求ゲートウェイのパスワードが完全に侵害されたとみなすべきであると推奨した。また、事件発生時にサーバーが接続されていなかった顧客であっても、直ちにそれらをローテーションおよび変更する必要があるとしている。
是正措置と会社の対応
OpsShield社は、侵害を封じ込めるために一連の厳格な措置を講じた。これには以下が含まれる：
- 影響を受けたすべてのサーバーから攻撃者を排除し、内部のシークレットおよび資格情報をリセットすること。
- 攻撃者のSSHキーおよびクラウドアカウントから複製されたアセットを削除すること。
- cPGuardソフトウェアのすべての公開および秘密ライセンスキーを再発行すること。
- 請求ゲートウェイのすべてのログインセッションを終了し、APIキーをローテーションすること。
- 請求、ライセンス、および内部管理サーバーをゼロから再構築すること。
- 残っているルートシェルや隠しファイルを削除するため、ソフトウェアの新しいクリーンなバージョン（バージョン5.88.25以降）をリリースすること。