Sommaire
Le 2 novembre à 02h06 UTC, un attaquant a utilisé des identifiants compromis pour s’introduire dans l’infrastructure de distribution des mises à jour d’OPSSHIELD et diffuser un script malveillant via le canal de mise à jour de cPGuard, l’outil de sécurité pour serveurs Linux utilisé avec cPanel, DirectAdmin ou Plesk. Les versions 5.88.12 à 5.88.19 sont concernées.
Le script installait une porte dérobée et collectait des données sensibles : les fichiers /etc/shadow et /etc/passwd, la configuration MySQL/MariaDB de root, l’historique shell de root et les fichiers SSH. OPSSHIELD estime que l’attaquant a récupéré 32 fichiers, chacun correspondant à un serveur client. La mise à jour vers la version 5.88.25 ou plus supprime la porte dérobée, mais elle ne suffit pas : les identifiants copiés avant le nettoyage restent utilisables. Il faut donc réinitialiser les mots de passe de root et de tous les comptes locaux, changer les mots de passe de bases de données, les clés S3 et les tokens, et remplacer les clés SSH de /root/.ssh. Pour vérifier si un serveur a installé une version concernée : grep ‘Successfully updated’ /opt/cpguard/logs/install_log.
Lento dit : Votre outil de sécurité qui devient le cheval de Troie, c’est le pire scénario. Mettez à jour, puis changez tout : la mise à jour seule ne suffit pas, c’est écrit noir sur blanc.
