A empresa de cibersegurança indiana "OpsShield", especializada em proteção de servidores e softwares de segurança web, sofreu um ataque cibernético duplo que visou sua infraestrutura de distribuição de atualizações. O ataque resultou na transmissão de versões maliciosas da popular ferramenta de proteção de servidores web "cPGuard" para os clientes da empresa durante uma curta janela de tempo.
De acordo com as investigações e notificações emitidas pela empresa, os invasores começaram comprometendo seu servidor de faturamento e licenciamento ao registrar uma nova conta de cliente e estudar o mecanismo de comunicação com o sistema de licenciamento, o que lhes permitiu executar comandos e extrair dados antes de usar uma chave de acesso roubada para carregar uma atualização falsa contendo códigos maliciosos.
Este ataque afetou as versões de 5.88.12 a 5.88.19 da ferramenta "cPGuard", que continuou sendo distribuída por aproximadamente 70 minutos antes da vulnerabilidade ser descoberta dentro de 12 horas após o ocorrido. Estima-se que cerca de 2.950 servidores tenham executado a atualização falsa, enquanto os invasores conseguiram copiar dados de aproximadamente 7.900 registros de contas de clientes, incluindo nomes, empresas, endereços, endereços de e-mail e senhas criptografadas.
Quais são as consequências práticas desta invasão?
O script malicioso causou a execução de várias tarefas nos servidores dos clientes afetados, incluindo a coleta de dados e o upload para o servidor de licenciamento comprometido, a criação de um shell de root (Root Shell) oculto, além da colocação de arquivos adicionais no diretório temporário (Temp). Os invasores conseguiram recuperar 32 arquivos compactados de diferentes servidores de clientes, além de copiar três servidores de nuvem pertencentes à empresa.
Diante desses dados, a empresa recomendou que todas as chaves SSH de root, senhas de bancos de dados MySQL, logs de comandos e senhas do portal de faturamento sejam consideradas totalmente comprometidas, sendo necessário rotacioná-las e alterá-las imediatamente, mesmo para os clientes cujos servidores não foram conectados no momento do incidente.
Medidas corretivas e resposta da empresa
A OpsShield tomou uma série de medidas rigorosas para conter a invasão, que incluíram:
- Expulsar os invasores de todos os servidores afetados e redefinir segredos e credenciais internas.
- Remover as chaves SSH dos invasores e os ativos clonados das contas de nuvem.
- Reemitir todas as chaves de licença públicas e privadas do software cPGuard.
- Encerrar todas as sessões de login do portal de faturamento e rotacionar as chaves de API.
- Reconstruir os servidores de faturamento, licenciamento e gerenciamento interno do zero.
- Lançar novas versões limpas do software (versão 5.88.25 e posteriores) para remover o shell de root e os arquivos ocultos restantes.