OpsShieldへのサプライチェーン攻撃で、悪意あるcPGuardアップデートが配信される

インドのITセキュリティ企業OpsShieldは月曜日、サイバー攻撃を受けました。この攻撃により、同社の顧客に悪意あるバージョンのcPGuardが配信されました。

OpsShieldはサーバー保護やWebセキュリティのソフトウェアを手がけており、cPGuardはその代表的な製品です。Linux型のWebホスティングサーバー向けに設計されています。

同社のインシデント通知によると、攻撃者は窃取した認証情報を使って更新配信インフラ（CDN）に侵入しました。そのうえで、cPGuardのアップデートチャネルを通じて悪意あるスクリプトを配布しました。

悪意あるコードが含まれていたのは、cPGuardのバージョン5.88.12〜5.88.19です。このサプライチェーン攻撃は12時間以内に発覚し、偽のアップデートが配信されていた時間は約70分でした。

攻撃者はまず、同社の課金・ライセンスサーバーを標的にしました。顧客アカウントを登録して無料のcPGuardトライアルを申し込み、ライセンスシステムとの通信内容を調べたうえで、ポータルに細工したリクエストを送り始めました。

同社が更新した報告書によると、攻撃者は課金・ライセンスサーバーでコマンド実行権限を得た後、データの収集を開始しました。その後、窃取したアクセスキーを使い、偽のcPGuardアップデートをアップロードしました。

侵害期間中にOpsShieldの更新インフラへ問い合わせたサーバーでは、このアップデートがroot権限で実行されました。同時に攻撃者は、同社のクラウドサーバー3台を複製しています。

アップデートに仕込まれた悪意あるスクリプトは、データを収集し、侵害したアカウントを使ってOpsShieldのライセンスサーバーへアップロードする仕組みでした。同社によると、攻撃者はアップロードされたデータから32個の収集ファイルを取得しました。ファイルはそれぞれ別の顧客サーバーのものです。

さらにこのスクリプトは、顧客サーバーのtempフォルダーに、隠しrootシェルと一部のファイルを設置しました。

OpsShieldの推定では、偽のcPGuardアップデートを実行したサーバーは2,950台に上ります。また攻撃者は、約7,900件の顧客アカウント情報も複製しました。これには氏名、会社名、住所、メールアドレス、ハッシュ化されたパスワードが含まれます。

感染した顧客サーバーでは、すべてのパスワードハッシュ、rootのSSH鍵、MySQLのrootパスワード、シェルの履歴が漏えいしたものとみなし、更新する必要があります。

OpsShieldは次のように呼びかけています。「その時間帯にcPGuardがオンラインでなければ、お使いのサーバーは偽のアップデートを受信していません。それでも、課金ポータルのパスワードはリセットしてください」

同社は、攻撃者が接触した可能性のあるすべてのサーバーから攻撃者を排除したと説明しています。あわせて、アカウントのシークレットをリセットし、攻撃者のSSH鍵とクラウドアカウント内に複製されたリソースを削除しました。サーバー全体のSSH鍵とパスワードもすべて入れ替えています。

また、攻撃者に侵害されたため、cPGuardのライセンス用の秘密鍵・公開鍵をすべて再発行しています。課金ポータルのログインセッションはすべてリセットし、関連するAPIキーも更新しました。課金、ライセンス、社内管理の各サーバーは再構築中です。

OpsShieldはさらに、隠しrootシェルとスクリプトが残した追加ファイルを削除するcPGuardのアップデート（バージョン5.88.25以降）を公開しました。侵害指標（IoC）も公表しています。

同社は次のように述べています。「このような攻撃は、より速く、より安価に実行できるようになっています。私たちはまず自社のアップデートと署名のプロセスを強化し、そこで得た教訓をそのままcPGuardに反映して、お客様にお届けします」