Une mise à jour piégée de l'outil de sécurité cPGuard a volé les secrets de 2 946 serveurs

Le 2 novembre à 2 h 08 UTC (3 h 08 à Paris), des serveurs équipés de cPGuard reçoivent une mise à jour en apparence ordinaire. Elle arrive par le canal officiel de l'éditeur, OpsShield. Elle contient pourtant un script chargé de copier les secrets les mieux gardés de la machine.

cPGuard est une suite de sécurité pour serveurs web sous Linux : recherche de logiciels malveillants, pare-feu, protection contre les attaques. On la trouve chez des hébergeurs et des administrateurs de serveurs, avec les panneaux d'administration cPanel, DirectAdmin ou Plesk. Selon l'alerte publiée par OpsShield le 3 novembre, les versions 5.88.12 à 5.88.19 sont piégées. Interrogé par BleepingComputer, un porte-parole d'OpsShield chiffre à 2 946 le nombre de serveurs touchés, dont les informations ont été copiées.

Ce que le script a copié

D'après l'éditeur, l'attaquant est entré la veille par son portail de facturation, avec un compte client créé le jour même, a pris la main sur le serveur de facturation et de licences, puis s'est emparé des clés qui servent à publier les mises à jour. Le script visait :

• les empreintes des mots de passe des comptes Linux ;
• la configuration d'accès administrateur aux bases de données MariaDB ou MySQL ;
• l'historique des commandes tapées par le compte root, le super-administrateur ;
• les fichiers SSH du compte root qui listent les clés autorisées et les machines connues.

Détail inattendu : les données volées ont transité par le serveur de licences d'OpsShield lui-même, via un compte compromis, avant d'être récupérées par l'attaquant. Selon une première estimation de l'éditeur, l'attaquant a récupéré 32 fichiers de données collectées, chacun correspondant à un serveur client ; OpsShield n'a pas encore établi que tous les fichiers visés ont été prélevés sur chaque serveur. L'attaquant a aussi copié les fiches clients du système de facturation : nom, société, adresse postale, e-mail et empreinte du mot de passe. Selon OpsShield, environ 7 900 comptes du portail de facturation sont concernés.

D'après la note d'incident publiée ensuite par OpsShield, les serveurs ont installé la fausse mise à jour pendant environ 70 minutes, de 2 h 08 à 3 h 20 UTC. La clé volée a ensuite été révoquée et une version saine, la 5.88.26, publiée. Certains serveurs, qui ne vérifient les mises à jour qu'à intervalles réguliers, pourraient ne jamais avoir exécuté le script. L'éditeur ne peut pas le confirmer.

Vous utilisez cPGuard ? Les étapes à suivre

Un outil de sécurité tourne avec les pleins pouvoirs sur le serveur : c'est ce qui rend sa compromission si coûteuse. Mieux vaut partir du principe que tout ce que le script ciblait est entre de mauvaises mains.

1. Mettre à jour chaque serveur en version 5.88.25 ou ultérieure : selon OpsShield, elle supprime la porte dérobée et les fichiers déposés par l'attaquant.
2. Changer les mots de passe des comptes du système, à commencer par root.
3. Renouveler les identifiants des bases de données, les secrets d'accès au cloud et les clés SSH, et retirer toute clé inconnue des fichiers de clés autorisées.
4. Vérifier que la version 5.88.26 est installée : selon le journal des versions de cPGuard, elle révoque l'accès du support d'OpsShield sur les serveurs où il était activé.
5. Changer le mot de passe du portail de facturation d'OpsShield et activer la double authentification, ce que l'éditeur demande à tous ses clients.
6. Prévenir les clients hébergés dont les applications utilisaient les identifiants exposés.

Les mises à jour, une porte d'entrée de plus en plus prisée

Le scénario devient familier. En octobre, on a appris que les mises à jour du logiciel de sauvegarde AOMEI avaient, entre avril et juillet, installé une porte dérobée, et l'extension WordPress Rank Math PRO avait distribué une version piégée pendant onze heures. Chaque fois, le client n'a commis aucune erreur : il a fait confiance au canal de son éditeur.

Dans sa note d'incident publiée le 3 novembre, OpsShield dit reconstruire ses serveurs de facturation, de licences et de gestion interne à partir d'images saines. Une question reste ouverte : ses journaux ne montrent pas la requête exacte qui a permis à l'attaquant de s'introduire, et l'éditeur dit avoir corrigé deux points d'entrée possibles.