El ataque a cPGuard alcanza 2.946 servidores y expone datos de clientes
OpsShield cifra el impacto del ataque a la actualización de cPGuard: 2.946 servidores, datos del sistema y registros de facturación. Qué se confirmó y qué deben rotar los administradores.
El 3 de noviembre, OpsShield confirmó que el compromiso de la infraestructura de cPGuard alcanzó a 2.946 servidores y que también se copió una base de datos de facturación. La cifra procede de declaraciones del proveedor a BleepingComputer; su aviso público redondea el alcance a unos 2.950 servidores y añade alrededor de 7.900 cuentas de su portal afectadas. No son dos maneras de contar lo mismo: una cifra describe máquinas que recibieron la actualización maliciosa y la otra, cuentas del servicio.
Una actualización convertida en puerta de entrada
El atacante obtuvo acceso a la infraestructura de OpsShield y publicó una versión falsa por el canal de actualizaciones de cPGuard. El aviso de la empresa sitúa la instalación entre las 02:08 y las 03:20 UTC del 2 de noviembre; las versiones distribuidas afectadas fueron 5.88.12 a 5.88.19. La actividad no fue necesariamente uniforme: que un servidor estuviera en línea en ese intervalo no demuestra por sí solo que ejecutara el script, porque cPGuard comprobaba actualizaciones a intervalos.
OpsShield dice que el intruso llegó a través de su aplicación de facturación y licencias y utilizó una clave robada para publicar la actualización. La investigación no ha identificado la petición exacta que permitió entrar; el proveedor afirma haber corregido dos posibles puntos de entrada mientras revisa el código. El canal de distribución legítimo fue el mecanismo de propagación, una variante especialmente incómoda del ataque a la cadena de suministro de software: el cliente recibe el código comprometido precisamente desde donde esperaba recibir protección.
-SecureCrew dice:Una firma válida del proveedor no ayuda si quien firma ya no es quien controla la llave.-
Qué pudo salir de los servidores
El script buscaba datos con valor inmediato para moverse o autenticarse: hashes de contraseñas locales, claves y autorizaciones SSH, configuración de MySQL o MariaDB e historial de comandos de root. OpsShield también encontró claves de almacenamiento en la nube en un número pequeño de servidores. BleepingComputer informó que la investigación recuperó 32 archivos por cliente y que la base de facturación también fue copiada; el aviso oficial confirma el robo de registros de cuentas, pero no permite asignar cada archivo a cada servidor individual.
Las contraseñas del portal de OpsShield estaban almacenadas como hashes de contraseña, según la empresa, no en texto claro. Eso reduce la exposición directa, pero no convierte el incidente en inocuo: los hashes pueden probarse fuera de línea y los archivos de configuración o el historial de root pueden contener secretos reutilizables. La empresa recomienda restablecer también la contraseña del portal.
-SecureCrew dice:Un secreto guardado en un historial de shell sigue siendo un secreto; solo que con peor sistema de archivo.-
La cifra de unas 7.900 cuentas se refiere al portal de facturación, no a 7.900 instalaciones adicionales de cPGuard. OpsShield habla de nombres, empresas, direcciones postales, correos y hashes de contraseña. Por separado, los sistemas que ejecutaron la actualización pudieron exponer material de alto privilegio; no hay base para afirmar que todos recibieran exactamente el mismo conjunto de archivos.
Qué deben revisar los administradores
OpsShield recomienda llevar todas las instalaciones a cPGuard 5.88.25 o posterior; su aviso de incidente identifica 5.88.26 como actualización limpia que elimina la shell oculta. La versión instalada entre 5.88.12 y 5.88.19 sirve para detectar que el servidor recibió una compilación afectada, pero el registro de actualización no demuestra por sí solo que el script llegara a ejecutarse ni qué datos salieron. Si el servidor estuvo expuesto, la recomendación del proveedor es tratar los secretos de root como potencialmente comprometidos.
La respuesta no acaba al actualizar. El proveedor pide cambiar contraseñas locales y de root, generar claves SSH nuevas, retirar las antiguas de los servidores que las aceptaban y rotar credenciales de bases de datos, API y almacenamiento cloud que aparezcan en los sistemas afectados. También indica revisar que hayan desaparecido los artefactos del script y activar la autenticación de dos factores del portal. Parchear elimina el implante conocido; no revoca las credenciales que el atacante pudo copiar.
OpsShield continúa investigando y ha descrito la copia de la base de facturación y la reconstrucción de sus propios sistemas. Su aviso no determina todavía qué archivos fueron transferidos desde cada máquina cliente. Para los equipos de hosting, la prioridad es separar tres preguntas: qué versión se instaló, si el script se ejecutó y qué secretos podían estar presentes en ese servidor. Resolver la primera ayuda a acotar el análisis; por sí sola no responde a las otras dos.
Diccionario de la Crew
Ataque a la cadena de suministro de software — Compromiso de un proveedor, servicio o mecanismo de distribución que permite entregar código malicioso a quienes confían en sus actualizaciones.
Hash de contraseña — Resultado de una función criptográfica aplicada a una contraseña; no es la contraseña original, aunque puede someterse a intentos de recuperación fuera de línea.
