Backdoor via atualização do cPGuard; atacante roubou dados de 32 servidores
Atacantes usaram credenciais comprometidas para sequestrar o canal de atualização do cPGuard, ferramenta de segurança para servidores Linux da OPSSHIELD, em 2 de novembro de 2026, e distribuir as versões maliciosas 5.88.12 a 5.88.19, que instalavam backdoor e coletavam hashes de senha, configuração de banco, histórico de shell e arquivos SSH do root. A OPSSHIELD estima que o atacante retirou 32 arquivos coletados, cada um ligado a um servidor de cliente; a estimativa é preliminar e não corresponde ao total de servidores potencialmente afetados. A correção está no cPGuard 5.88.25 ou posterior, seguida de redefinição de senhas e troca de chaves e tokens.
O que aconteceu
Em 2 de novembro, atacantes usaram credenciais comprometidas para acessar a infraestrutura de atualização da OPSSHIELD e distribuir versões maliciosas do cPGuard, de 5.88.12 a 5.88.19. O script instalava um backdoor e coletava hashes de senha, configurações de banco de dados, histórico de shell e arquivos SSH do root. A OPSSHIELD estima, de forma preliminar, que o atacante retirou dados de 32 servidores de clientes.
Por que importa
A ferramenta contratada para proteger servidores foi usada para comprometê-los. Senhas, segredos de banco e chaves SSH podem ter sido copiados, e credenciais já copiadas continuam válidas mesmo depois da limpeza. O número de 32 servidores é estimativa inicial de dados retirados, não o total de servidores potencialmente afetados.
O que fazer
Atualizar todo servidor com cPGuard para a versão 5.88.25 ou posterior e verificar a versão instalada. Tratar como comprometido qualquer servidor que instalou as versões 5.88.12 a 5.88.19: redefinir senhas locais e de root, trocar senhas de banco, tokens e segredos, e substituir as chaves SSH privadas do root.
Para o time técnico
- Afetados
- cPGuard, ferramenta de segurança para servidores Linux da OPSSHIELD · cPGuard versões 5.88.12 a 5.88.19, inclusive. Servidor que instalou qualquer dessas versões deve ser tratado como potencialmente comprometido, mesmo se já estiver na 5.88.25 ou posterior.
- Exploração
- Ataque real confirmado pelo fornecedor OPSSHIELD, detectado em até 12 horas após o lançamento das atualizações. A OPSSHIELD estima que o atacante retirou 32 arquivos coletados, cada um correspondente a um servidor de cliente (estimativa preliminar de retirada confirmada). Segundo o Daily Dark Web, conta pública de EDR de um cliente descreve a coleta bem-sucedida de uma chave privada SSH de root.
- Correção
- Atualizar para cPGuard 5.88.25 ou posterior (cpgcli update --start; confirmar com cpgcli --version). A atualização remove o backdoor conhecido e os arquivos preparados, mas não invalida credenciais já copiadas: redefinir senhas do root e de todas as contas locais com senha em ambiente de recuperação confiável; trocar senhas de banco, chaves S3, tokens DigitalOcean e segredos do histórico do root; substituir chaves privadas em /root/.ssh e remover as públicas antigas de todos os sistemas que as aceitam. A OPSSHIELD também lança atualização para remover as chaves de acesso ao suporte. Reconstrução completa do servidor não é recomendada como resposta de rotina.
- Vetor
- Canal de atualização automática do cPGuard (CDN de distribuição da OPSSHIELD), comprometido com credenciais de distribuição; a origem das credenciais segue em investigação. O script malicioso rodava como parte das atualizações 5.88.12 a 5.88.19; servidores cujo intervalo de verificação de atualização não coincidiu podem não ter executado o script. Os dados coletados eram enviados ao servidor de licenciamento da própria OPSSHIELD, sob conta comprometida, para retirada posterior pelo atacante.
- Mais detalhes
- Ataque iniciado em 2 de novembro de 2026, 02:06 UTC; detecção em até 12 horas, com contenção da conta comprometida e limpeza das credenciais de infraestrutura. Verificação de exposição: grep 'Successfully updated' /opt/cpguard/logs/install_log; entradas de 5.88.12 a 5.88.19 confirmam instalação, mas não execução do script nem transferência de dados; ausência de registros não prova que o servidor não foi afetado. Hashes de /etc/shadow são unidirecionais, porém senhas simples, comuns ou já expostas são mais recuperáveis em teste offline, e resets continuam necessários.
Linha do tempo
BleepingComputer detalha que o ataque sequestrou a atualização automática do cPGuard para implantar um backdoor e roubar dados.
OPSSHIELD detalha o ataque: credenciais de distribuição comprometidas publicaram as versões 5.88.12 a 5.88.19 em 2 de novembro, coletando hashes de senha, configuração de banco, histórico de shell e arquivos SSH, além de instalar backdoor.
A OPSSHIELD publicou aviso oficial: o canal de atualizações foi comprometido em 2 de novembro para distribuir script que instalava backdoor e coletava hashes de senha, e o atacante levou parte dos dados.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 6 atualizações
Novo lote revela o vetor do ataque: o canal de atualização foi sequestrado para instalar backdoor nas versões 5.88.12 a 5.88.19.
Fornecedor identifica as versões maliciosas 5.88.12 a 5.88.19, cujo script roubava /etc/shadow, configurações de banco de dados e arquivos SSH do root.
Incidente aberto.
Fontes 6 fontes
- CPGuard / OPSSHIELD LLP Breach r/netsec
- @IntCyberDigest @IntCyberDigest
- @TheHackersNews @TheHackersNews
- cPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes The Hacker News
- @DailyDarkWeb @DailyDarkWeb
Ver todas as 6 fontes
- @BleepinComputer @BleepinComputer
