Atacantes comprometeram a infraestrutura de atualização do pacote de segurança para servidores web cPGuard e distribuíram um backdoor e um script de roubo de dados.
A OpsShield, desenvolvedora do cPGuard, publicou um alerta informando que o ataque começou em 2 de novembro, às 02h06 UTC, e afetou as versões 5.88.12 a 5.88.19.
A empresa afirmou que detectou a invasão e interrompeu a distribuição maliciosa em até 12 horas após o invasor publicar as versões comprometidas do cPGuard.
A OpsShield não conseguiu confirmar se todos os servidores receberam ou executaram o script malicioso. Segundo a empresa, alguns podem não ter sido afetados porque as verificações de atualização ocorrem em intervalos específicos.
O invasor usou credenciais legítimas para obter acesso inicial, mas ainda não se sabe como elas foram obtidas.
“Em 2 de novembro de 2026, às 02h06 UTC, um invasor não identificado usou credenciais comprometidas para obter acesso não autorizado à infraestrutura de distribuição de atualizações da OpsShield, uma rede de distribuição de conteúdo (CDN)”, informou a empresa.
“Com esse acesso, o invasor distribuiu um script malicioso pelo canal de atualização do cPGuard.”
O cPGuard é um pacote de segurança para servidores web Linux que oferece verificação de malware, firewalls e proteção contra ataques.
A ferramenta é usada com frequência por empresas de hospedagem e administradores de servidores, junto a painéis como cPanel, DirectAdmin e Plesk. A Namecheap também oferece o cPGuard em servidores VPS e dedicados.
Usuários que atualizaram o cPGuard durante o período da invasão receberam um script que buscava dados confidenciais nos dispositivos, incluindo:
- hashes de senhas do Linux
- configurações do banco de dados do usuário root (MariaDB/MySQL)
- histórico de comandos do usuário root
- arquivos de autorização SSH e de hosts conhecidos do usuário root
Os dados roubados foram enviados ao servidor de licenciamento da OpsShield por meio de uma conta comprometida. Depois, os invasores usaram essa conta para recuperar as informações.
A OpsShield ainda não determinou quais dados foram coletados de cada servidor. No entanto, as evidências da investigação indicam que o threat actor recuperou 32 arquivos de cada cliente.
A empresa recomenda que administradores de sistemas atualizem todos os servidores com cPGuard para a versão 5.88.25 ou posterior, redefinam as senhas e troquem as credenciais de banco de dados, os segredos de cloud e as chaves SSH.
Segundo a OpsShield, a atualização para a versão mais recente do cPGuard remove o backdoor e os arquivos preparados. Ainda assim, as credenciais roubadas devem ser invalidadas o quanto antes.
A empresa também informou que lançará uma atualização adicional para remover chaves de acesso ao suporte da OpsShield instaladas anteriormente.
Segundo reportagem do BleepingComputer, o incidente afetou quase 3.000 servidores. Um porta-voz da OpsShield afirmou: “Detectamos 2.946 servidores afetados, dos quais as informações mencionadas foram copiadas. O banco de dados do nosso sistema de cobrança também foi copiado. Estamos trabalhando para bloquear todos os acessos, reconstruir os sistemas afetados e preparar um comunicado público o mais rápido possível.”
A OpsShield também orienta os clientes a seguir as instruções e atualizar o cPGuard para a versão 5.88.25 ou posterior. A empresa recomenda ainda redefinir ou trocar as credenciais que possam ter sido expostas em servidores potencialmente comprometidos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...