Linux-servers die gebruikmaken van securitysoftware cPGuard zijn via een update besmet geraakt met malware, zo heeft ontwikkelaar OpsShield bekendgemaakt. CPGuard is software voor het beveiligen van Linux-servers. Het biedt onder andere een virusscanner, web application firewall (WAF) en bescherming tegen bruteforce-aanvallen. Het is vooral gericht op web- en hostingservers.

Aanvallers wisten het updatekanaal van cPGuard te compromitteren en konden zo twaalf uur lang een malafide script als update onder gebruikers uitrollen. Het script voegt een backdoor toe en verzamelt informatie van het besmette systeem, te weten /etc/shadow en /etc/passwd, de root MariaDB/MySQL configuratie, root shell history en root SSH authorization en known-hosts files. De informatie werd vervolgens naar de licentieserver van OpsShield teruggestuurd, waar de aanvallers de beschikking hadden over een account.

Volgens de softwareontwikkelaar wisten de aanvallers de inloggegevens te stelen waarmee ze toegang tot de 'update distributie infrastructuur' kregen. Hoe de credentials konden worden buitgemaakt wordt nog onderzocht. Gebruikers van cPGuard krijgen het advies om naar versie 5.88.25 of nieuwer te updaten. OpsShield stelt dat een 'full server reset of rebuild' niet nodig is. De nieuwste versie verwijdert de backdoor en het script, aldus de uitleg. Wel moeten beheerders wachtwoorden, tokens, keys en andere secrets op het getroffen systeem vervangen.