Sunucu koruma ve web güvenlik yazılımları konusunda uzmanlaşmış Hindistan merkezli siber güvenlik şirketi "OpsShield", güncelleme dağıtım altyapısını hedef alan çift yönlü bir siber saldırıya maruz kaldı. Saldırı, popüler web sunucusu koruma aracı "cPGuard"ın kötü amaçlı sürümlerinin kısa bir zaman dilimi içinde şirketin müşterilerine iletilmesiyle sonuçlandı.
Şirket tarafından yapılan incelemeler ve bildirimlere göre saldırganlar, yeni bir müşteri hesabı oluşturup lisans sistemiyle iletişim mekanizmasını inceleyerek şirketin faturalandırma ve lisans sunucusunu ele geçirmeye başladı; bu sayede komutları yürütmeyi ve verileri çekmeyi başardılar, ardından da kötü amaçlı kodlar içeren sahte bir güncellemeyi yüklemek için çalınmış bir erişim anahtarı kullandılar.
Bu saldırı, "cPGuard" aracının 5.88.12 ile 5.88.19 arasındaki sürümlerini etkiledi ve güvenlik açığı olayın meydana gelmesinden 12 saat sonra tespit edilmeden önce yaklaşık 70 dakika boyunca dağıtılmaya devam etti. Tahminlere göre yaklaşık 2.950 sunucu sahte güncellemeyi uyguladı, saldırganlar ise isimler, şirketler, adresler, e-posta adresleri ve şifrelenmiş parolalar dahil olmak üzere yaklaşık 7.900 müşteri hesabı kaydına ait verileri kopyalamayı başardı.
Bu ihlal pratikte ne anlama geliyor?
Kötü amaçlı betik, etkilenen müşteri sunucularında veri toplama ve bunları ele geçirilen lisans sunucusuna yükleme, gizli bir Root Shell (kök kabuk) oluşturma ve Temp (geçici) klasörüne ek dosyalar yerleştirme gibi çeşitli görevlerin yürütülmesine neden oldu. Saldırganlar, şirkete ait üç bulut sunucusunun kopyalanmasının yanı sıra farklı müşteri sunucularından 32 derlenmiş dosya geri almayı başardı.
Bu veriler ışığında şirket; tüm kök SSH anahtarlarının, MySQL veritabanı parolalarının, komut günlüklerinin ve faturalandırma portalı parolalarının tamamen ele geçirilmiş sayılması gerektiğini, olay sırasında sunucuları bağlantıda olmayan müşteriler için bile bunların derhal döndürülmesi ve değiştirilmesi gerektiğini tavsiye etti.
Düzeltici önlemler ve şirketin yanıtı
OpsShield şirketi, ihlali kontrol altına almak için aşağıdakileri içeren bir dizi sıkı önlem aldı:
- Etkilenen tüm sunuculardan saldırganların atılması ve dahili sırların ve kimlik bilgilerinin sıfırlanması.
- Saldırganlara ait SSH anahtarlarının ve bulut hesaplarından kopyalanan varlıkların kaldırılması.
- cPGuard yazılımı için tüm genel ve özel lisans anahtarlarının yeniden yayınlanması.
- Faturalandırma portalı için tüm oturumların sonlandırılması ve API anahtarlarının döndürülmesi.
- Faturalandırma, lisanslama ve dahili yönetim sunucularının sıfırdan yeniden inşa edilmesi.
- Kalan Root Shell ve gizli dosyaları temizlemek için yazılımın yeni temiz sürümlerinin (5.88.25 ve sonrası sürüm) yayınlanması.