Une attaque cPGuard a détourné les mises à jour pour installer une porte dérobée et voler des hachages de mots de passe.

Une attaque cPGuard a touché la chaîne de mise à jour de cet outil de sécurité. En effet, le 2 novembre, un pirate a pénétré dans le système de distribution des mises à jour. Ensuite, il s’en est servi pour envoyer un script malveillant aux serveurs Linux des clients. Par ailleurs, l’éditeur, OPSSHIELD, a détaillé l’incident dans un avis de sécurité.

Ce que l’on sait de l’attaque cPGuard

Les faits connus tiennent en quelques points. D’abord, l’intrusion a eu lieu le 2 novembre. Ensuite, l’attaquant a utilisé le canal officiel de mise à jour de cPGuard. Enfin, ce canal a diffusé un script malveillant vers les serveurs clients.

Une fois exécuté, le script a installé une porte dérobée sur les machines concernées. Il a aussi collecté des hachages de mots de passe. De plus, d’autres fichiers sensibles ont également été récupérés.

Par ailleurs, OPSSHIELD indique que l’attaquant a depuis exfiltré une partie de ces données. Autrement dit, il ne s’agit pas d’un simple risque théorique. En effet, des informations ont bien quitté les serveurs infectés.

Les informations disponibles mentionnent cPGuard 5.88.25 et les versions ultérieures. Toutefois, elles ne permettent pas de trancher sur un point précis. Les administrateurs doivent donc consulter directement l’avis de l’éditeur. Ils sauront ainsi si cette plage de versions correspond aux systèmes exposés ou aux versions corrigées.

Un canal de confiance transformé en vecteur

Ce type d’incident relève de la compromission de la chaîne d’approvisionnement logicielle. Le principe est simple. Ainsi, l’attaquant ne cible pas chaque serveur un par un. Il vise plutôt l’outil auquel les victimes font déjà confiance.

Les mises à jour automatiques sont pratiques. En effet, elles réduisent le temps d’exposition aux failles connues. Cependant, elles créent aussi un point unique de défaillance. Par conséquent, si le canal est détourné, le code malveillant arrive avec les mêmes droits que l’outil légitime.

Le cas est d’autant plus sensible qu’il s’agit d’un produit de sécurité. Ces logiciels s’exécutent souvent avec des privilèges élevés. De plus, les administrateurs les considèrent comme fiables par défaut. Par conséquent, un script malveillant bénéficie d’une grande liberté d’action.

L’attaquant a ici combiné deux objectifs. D’abord, il a obtenu un accès persistant grâce à la porte dérobée. Il a également volé des données utiles pour de futures intrusions.

Pourquoi les hachages de mots de passe inquiètent

Un hachage n’est pas un mot de passe en clair. Pourtant, il reste une donnée très précieuse pour un attaquant. Celui-ci peut tenter de retrouver le mot de passe d’origine hors ligne. Par conséquent, aucune limite de tentatives imposée par le serveur ne le freine.

Le risque dépend de plusieurs facteurs :

• la robustesse des mots de passe choisis ;
• l’algorithme de hachage utilisé ;
• la réutilisation des mêmes identifiants sur d’autres services.

Ainsi, un mot de passe court ou courant peut tomber rapidement. En revanche, une phrase de passe longue et unique résiste beaucoup mieux. Dans tous les cas, la prudence impose de considérer les comptes concernés comme compromis.

Les autres fichiers sensibles posent un problème comparable. En effet, selon leur nature, ils peuvent contenir des clés, des configurations ou des informations d’accès. Toutefois, l’avis de l’éditeur ne détaille pas ici la liste complète. Il est donc préférable de supposer le pire, en attendant une analyse précise.

La porte dérobée représente enfin un danger distinct. Même après un changement de mots de passe, elle peut permettre à l’attaquant de revenir. C’est pourquoi un simple correctif ne suffit pas à rétablir la confiance dans le serveur.

Que faire après l’attaque cPGuard ?

Les équipes qui utilisent cPGuard doivent agir vite. Voici donc une démarche raisonnable, à adapter selon votre environnement et selon les consignes d’OPSSHIELD.

1. Lire l’avis de l’éditeur. Vérifiez notamment les versions concernées et les indicateurs de compromission fournis.
2. Identifier les serveurs exposés. Cherchez ceux qui ont reçu une mise à jour depuis le 2 novembre.
3. Rechercher la porte dérobée. Examinez notamment les fichiers récents, les tâches planifiées, les comptes et les connexions sortantes inhabituelles.
4. Changer les secrets exposés. Renouvelez ainsi les mots de passe, les clés et les jetons qui étaient présents sur les machines.
5. Envisager une reconstruction. En effet, un serveur compromis par une porte dérobée mérite souvent d’être réinstallé à partir d’une base saine.

Par ailleurs, surveillez les journaux d’authentification pendant plusieurs semaines. En effet, des connexions réussies avec des identifiants volés sont possibles. Notamment, vérifiez les accès provenant d’adresses inhabituelles.

Ce qu’il faut retenir

• Le 2 novembre, un attaquant a compromis le système de mise à jour de cPGuard.
• Un script malveillant a été distribué aux serveurs Linux des clients.
• Ce script a installé une porte dérobée et collecté des hachages de mots de passe ainsi que d’autres fichiers sensibles.
• OPSSHIELD confirme qu’une partie des données a été récupérée par l’attaquant.
• Les versions cPGuard 5.88.25 et ultérieures sont citées. Toutefois, vérifiez dans l’avis de l’éditeur ce qu’elles signifient pour vous.

Enfin, cet épisode rappelle une règle simple. Même un outil de sécurité doit être surveillé comme n’importe quel composant. Ainsi, segmenter les accès et limiter les privilèges réduit l’impact d’une mise à jour piégée. De plus, des sauvegardes saines facilitent la reprise après un incident.

Source : cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes