Kênh cập nhật cPGuard bị chiếm quyền, cài backdoor lên máy chủ Linux và thu thập hash mật khẩu

Kẻ tấn công đã xâm nhập hệ thống cập nhật của công cụ bảo mật cPGuard vào ngày 2/11 và lợi dụng nó để gửi một script độc hại tới máy chủ Linux của khách hàng. Script này cài backdoor, đồng thời thu thập hash mật khẩu và các tệp nhạy cảm khác trên những máy chủ đã chạy nó, theo cảnh báo của OPSSHIELD - nhà phát triển cPGuard. Kẻ tấn công sau đó đã lấy đi một phần dữ liệu thu được.

Phạm vi ảnh hưởng và cách nhận biết

Vào lúc 02:06 UTC, đối tượng chưa được xác định danh tính đã dùng thông tin đăng nhập bị xâm phạm để vào hệ thống cập nhật của cPGuard. Script độc hại được phát tán trong các phiên bản cPGuard từ 5.88.12 đến 5.88.19. OPSSHIELD cho biết đã phát hiện cuộc tấn công trong vòng 12 giờ kể từ khi các phiên bản này được phát hành, đã xóa thông tin đăng nhập hạ tầng của mình và chặn script lan tới thêm máy chủ. Công ty vẫn đang điều tra cách kẻ tấn công có được thông tin đăng nhập.

OPSSHIELD chưa công bố số lượng máy chủ đã cài các phiên bản bị ảnh hưởng. Do máy chủ kiểm tra cập nhật theo chu kỳ, một số có thể chưa chạy script. Quản trị viên có thể kiểm tra bằng cách tìm trong nhật ký cập nhật:

• Chạy lệnh grep 'Successfully updated' /opt/cpguard/logs/install_log
• Nếu có dòng ghi phiên bản từ 5.88.12 đến 5.88.19, máy chủ đã cài bản cập nhật bị ảnh hưởng
• Dòng này không chứng minh script đã chạy hay dữ liệu đã bị lấy đi, nhưng máy chủ vẫn nên được coi là có khả năng bị xâm phạm, kể cả khi hiện đã chạy 5.88.25 trở lên
• Máy chủ không có dòng khớp, hoặc nhật ký thiếu/không đầy đủ, vẫn có thể đã chạy script; nếu không chắc chắn, hãy liên hệ bộ phận hỗ trợ OPSSHIELD

Dữ liệu bị thu thập

Theo OPSSHIELD, script đã thu thập các loại dữ liệu sau: /etc/shadow và /etc/passwd, cấu hình MariaDB hoặc MySQL của root (my.cnf), lịch sử shell của root, cùng các tệp cấp quyền SSH và known-hosts của root. Công ty cho biết script có thể không lấy mọi tệp trên mọi máy chủ và vẫn đang xác định chính xác dữ liệu nào đã rời khỏi từng máy.

Tệp /etc/shadow lưu hash mật khẩu một chiều. Những mật khẩu yếu, phổ biến hoặc từng bị rò rỉ có thể bị khôi phục bằng cách thử đoán ngoại tuyến, còn mật khẩu mạnh vẫn cần đặt lại. Các bí mật nằm trong cấu hình cơ sở dữ liệu hay lịch sử shell không có lớp hash bảo vệ tương tự.

Script đã tải dữ liệu thu được lên một máy chủ cấp phép do chính OPSSHIELD vận hành, thông qua một tài khoản bị xâm phạm, để kẻ tấn công lấy lại sau. OPSSHIELD đã bảo vệ tài khoản này. Đến cuối ngày 2/11 theo giờ UTC, công ty ước tính kẻ tấn công đã lấy 32 tệp từ máy chủ đó, mỗi tệp gắn với một máy chủ khách hàng; con số này chỉ tính các tệp được biết chắc đã bị lấy và có thể thay đổi. Ngoài việc thu thập dữ liệu và backdoor, OPSSHIELD chưa phát hiện hoạt động độc hại nào khác, dù khẳng định này chưa phải kết luận cuối cùng.

Khuyến nghị cho quản trị viên cPGuard

OPSSHIELD yêu cầu quản trị viên cập nhật mọi máy chủ cPGuard ngay và xác nhận phiên bản: chạy cpgcli update --start trên từng máy chủ, sau đó chạy cpgcli --version để kiểm tra phiên bản 5.88.25 trở lên. Nếu cập nhật thất bại hoặc phiên bản thấp hơn, hãy liên hệ hỗ trợ.

Với mọi máy chủ nơi script đã chạy hoặc có thể đã chạy, quản trị viên cần thực hiện thêm các bước:

• Từ môi trường khôi phục đáng tin cậy, đặt lại mật khẩu cho root và mọi tài khoản Linux cục bộ khác dùng mật khẩu
• Từ thiết bị tin cậy, đổi những mật khẩu trùng với hệ thống khác
• Xoay vòng mật khẩu cơ sở dữ liệu, khóa truy cập S3, token DigitalOcean và mọi bí mật ghi trong lịch sử shell của root
• Thay khóa riêng SSH lưu dưới /root/.ssh và xóa khóa công khai cũ tương ứng trên mọi hệ thống tin cậy chúng

OPSSHIELD không khuyến nghị đặt lại toàn bộ hay cài lại hệ điều hành như bước thường quy, và cho biết quan điểm này có thể thay đổi khi điều tra tiếp diễn. Quản trị viên phát hiện dấu hiệu xâm phạm khác hoặc không xác nhận được máy chủ sạch nên đề nghị hỗ trợ xem xét từng trường hợp, có thể dẫn tới cài lại.

Riêng biệt, OPSSHIELD phát hành thêm một bản cập nhật như biện pháp phòng ngừa, gỡ khóa truy cập hỗ trợ của họ khỏi các máy chủ cPGuard nơi chúng từng được thêm vào. Đây là tính năng cho phép nhân viên OPSSHIELD vào máy chủ để khắc phục sự cố; khi cấp quyền, khóa công khai SSH của công ty được thêm vào tệp authorized_keys của root. OPSSHIELD chưa cho biết khóa riêng tương ứng có bị lộ trong vụ tấn công hay không.

Các tệp script để lại

OPSSHIELD công bố các tên tệp sau. Bản cập nhật gỡ backdoor shell và thư mục thu thập, nên việc chúng không còn sau khi cập nhật không chứng minh được script đã chạy hay chưa:

• Tệp cpguard-v58812-i91511.sh (script độc hại)
• Tệp /var/tmp/.cpg91511_sh (backdoor shell)
• Thư mục /var/tmp/.cpg91511 (nơi script tập hợp tệp)
• Tệp /var/tmp/.cpg91511/loot.tgz (kho nén script chuẩn bị)

Nguồn: The Hacker News