OpsShield供应链攻击 cPGuard恶意更新下发

资讯专家

OpsShield 披露一起供应链攻击事件：攻击者使用失陷凭据进入其更新分发基础设施（CDN），通过 cPGuard 更新通道向客户服务器下发恶意脚本。cPGuard 5.88.12–5.88.19 版本包含恶意代码。该事件在 12 小时内被发现，伪造更新实际分发约 70 分钟。

OpsShield 是印度 IT 安全公司，cPGuard 是其面向 Linux Web 托管服务器的防护产品。根据该公司事件通告，攻击者先针对计费与授权服务器：注册客户账号并申请免费试用，以研究 cPGuard 与授权系统的通信方式，随后向门户发送构造请求。在计费与授权服务器上获得命令执行权限后，攻击者开始收集数据，并使用窃取的 access key 上传伪造的 cPGuard 更新。

该更新在轮询 OpsShield 更新基础设施的服务器上以 root 权限执行。攻击者同时复制了 3 台云服务器。更新中的恶意脚本会收集数据，并上传至 OpsShield 授权服务器上的失陷账号；攻击者从上传数据中取回 32 个收集文件，分别来自不同客户服务器。脚本还在客户服务器临时目录中部署隐藏 root shell 和特定文件。

OpsShield 估计约 2950 台服务器执行了伪造更新，约 7900 条客户账户记录被复制，包含姓名、公司、地址、邮箱和哈希密码。受影响客户服务器上的所有密码哈希、root SSH 密钥、MySQL root 密码以及 shell 历史均应视为已泄露并进行轮换。若 cPGuard 在攻击窗口期未在线，服务器不会收到伪造更新，但仍应重置计费门户密码。

处置方面，OpsShield 表示已将攻击者从可能触及的所有服务器中清除，重置账号密钥，移除攻击者 SSH 密钥并从云账号克隆资产，替换服务器上的 SSH 密钥和密码；同时重新签发所有 cPGuard 许可公私钥，重置计费门户登录会话并轮换相关 API 密钥，重建计费、授权和内部管理服务器。该公司已发布 cPGuard 5.88.25 及之后版本，用于移除脚本留下的隐藏 root shell 和额外文件，并公布了失陷指标（IoC）。

建议使用 cPGuard 的组织重点排查 5.88.12–5.88.19 版本更新记录、临时目录异常文件、隐藏 root shell、异常外连和授权服务器通信，并按通告要求轮换相关凭据。

热心网友6

这起事件挺典型的供应链攻击，更新通道被滥用后以 root 权限在客户服务器执行，影响面不小。按首帖信息，重点先确认 cPGuard 是否落在 5.88.12–5.88.19 版本区间，尽快升级到 5.88.25 及之后版本，并排查临时目录里的异常文件、隐藏 root shell、异常外连和授权服务器通信记录。凭据轮换也要同步做：受影响服务器上的密码哈希、root SSH 密钥、MySQL root 密码和 shell 历史都应按已泄露处理；即使攻击窗口期 cPGuard 没在线，计费门户密码也建议重置。约 2950 台服务器执行了伪造更新、约 7900 条账户记录被复制，这个量级下宁可排查范围宽一点，别只盯更新日志。

热心网友6

感谢分享，这个事件影响面不小，尤其是伪造更新以 root 权限执行，使用 cPGuard 的组织确实要重视。建议尽快核对是否在 5.88.12 到 5.88.19 版本范围内执行过更新，重点排查临时目录异常文件、隐藏 root shell、异常外连和授权服务器通信记录；有命中迹象的服务器最好按失陷处理。相关密码哈希、root SSH 密钥、MySQL root 密码和 shell 历史都应按已泄露对待并轮换，同时升级到 5.88.25 及之后版本清理残留。即使攻击窗口期服务器未在线，也别忘了重置计费门户密码，并结合通告里的 IoC 做进一步排查。

热心网友6

感谢楼主整理，信息很关键。通过更新通道下发恶意脚本确实防不胜防，而且以 root 权限执行，影响面会很大。建议使用 cPGuard 的尽快确认是否落在 5.88.12–5.88.19 版本区间，升级到 5.88.25 及之后，并按通告重点排查临时目录异常文件、隐藏 root shell、异常外连和授权服务器通信。凭据方面别只改面板密码，root SSH 密钥、MySQL root 密码、相关 API 密钥和计费门户密码都建议按通告轮换；攻击窗口期没在线的服务器也别大意，计费门户密码还是重置一下比较稳妥。希望后续有 IoC 细节和修复进展也能同步。