LONDON (IT BOLTWISE) – Am 2. November wurde das Update-System von cPGuard kompromittiert und lieferte zwischen Version 5.88.12 und 5.88.19 ein bösartiges Skript an Linux-Server. Das Skript installierte eine Backdoor und sammelte u. a. Passwort-Hashes sowie sensible Root-Dateien. OPSSHIELD empfiehlt jetzt ein sofortiges Update auf 5.88.25 oder neuer und fordert für betroffene Systeme eine Passwort- und Schlüsselrotation. Unklar bleibt zunächst, wie viele Kunden-Installationen das Skript tatsächlich ausgeführt haben.
OPSSHIELD warnt vor einem gezielten Vorfall in seinem Security-Tool cPGuard: Am 2. November sei ein Angreifer in das Update-System eingedrungen und habe es genutzt, um in bestimmten Builds ein bösartiges Skript an Kundenserver auszuliefern. Laut Advisory betraf die Manipulation die cPGuard-Versionen 5.88.12 bis 5.88.19; diese Varianten hätten bei Servern, die innerhalb ihrer Updateintervalle die Pakete beziehen, eine Backdoor installiert und zusätzlich vertrauliche Daten abgegriffen. Nach dem Eingriff haben die Angreifer offenbar einen Teil der gesammelten Informationen bereits abgeholt, während OPSSHIELD die betroffene Infrastruktur-Seite weiter abgesichert und die Verbreitung der Schadfunktion gestoppt haben will.
Technisch liegt der Kern des Risikos weniger in der reinen Existenz einer Backdoor-Datei, sondern in der Art der exfiltrierten Artefakte. Das Skript sammelt laut OPSSHIELD unter anderem /etc/shadow und /etc/passwd, also genau jene Systemdateien, in denen Einweg-Hashes der lokalen Passwörter gespeichert sind. Zusätzlich wurden Konfigurationsdaten wie die MariaDB- beziehungsweise MySQL-Konfiguration des Root-Users (my.cnf) sowie Root-Shell-Historien ausgelesen; ebenso nennt das Advisory /root/.ssh-nahe SSH-Authorization- und bekannte-Hosts-Dateien für Root. Damit steigt die Wahrscheinlichkeit, dass ein Angreifer später nicht nur Zugriff über die Backdoor nutzt, sondern auch über Wiederverwendung von Geheimnissen (z. B. Passwörter oder Schlüssel, die noch gültig sind) erneut in betroffene Systeme gelangt.
Für Administrierende ist vor allem die Konsequenz relevant: Ein Update auf 5.88.25 oder neuer entfernt die im Skript abgelegte Backdoor und auch das gesammelte „Loot“-Verzeichnis. Gleichzeitig betont OPSSHIELD jedoch, dass die kopierten Credentials trotz Update weiterhin funktionieren können. Hintergrund: Passwort-Hashes in /etc/shadow sind zwar Einweg-Hashes, doch lassen sich schwache, häufig verwendete oder bereits geleakte Passwörter offline wiederherstellen, indem man Kandidaten gegen die Hashes testet. Selbst wenn ein Hash selbst nur schwer rückrechenbar ist, reicht schon die Wiedererkennung eines Passworts aus, um Zugang für späteres Credential-Stuffing oder manuelle Logins zu ermöglichen. Daneben liegen in Datenquellen wie Datenbankkonfigurationen oder Shell-Historien potenziell Geheimnisse im Klartext vor, die nicht durch Hashing „geschützt“ sind. Genau deshalb bleibt die Empfehlung zur Passwort- und Schlüsselrotation auch nach dem Patch so zentral.
Beim Timing hat OPSSHIELD laut eigenen Angaben schnell reagiert: Die Attacke sei innerhalb von 12 Stunden nach dem Versand der betroffenen Versionen 5.88.12 bis 5.88.19 erkannt worden. Um die Ausbreitung zu begrenzen, habe das Unternehmen die Infrastruktur-Credentials bereinigt und das Skript am weiteren Zielabruf gehindert. Für den Praxisbetrieb heißt das aber nicht, dass automatisch „alle“ Kundenserver sicher sind. Server prüfen Updates zwar in Intervallen; daher kann es sein, dass manche Instanzen zwar ein betroffendes Update gesehen haben, andere es dagegen noch nicht abriefen. Deshalb richtet sich die nächste Prüfrunde auf die lokale Evidenz: per Suche im Update-Log soll nachvollzogen werden, ob eine Installation der Versionen 5.88.12 bis 5.88.19 stattgefunden hat. OPSSHIELD nennt dafür explizit den Befehl grep ‘Successfully updated’ /opt/cpguard/logs/install_log; ein Eintrag für eine betroffene Version spricht für eine kompromittierende Updateausführung, beweist allein aber noch nicht, dass tatsächlich das Skript lief oder dass Daten „abflossen“.
Die in der Advisory beschriebenen Schritte für die Incident Response sind entsprechend deutlich weitreichend. Zuerst sollen Administrierende jede cPGuard-Instanz auf den aktuellen Stand bringen und die Version verifizieren: per cpgcli update –start und anschließendem cpgcli –version mit Erwartung 5.88.25 oder höher. Wenn das Update scheitert oder die Version darunter liegt, soll der Support kontaktiert werden. Für Systeme, auf denen das Skript gelaufen sein könnte, fordert OPSSHIELD einen Neustart der Vertrauenskette aus Passwörtern und Secrets: aus einer vertrauenswürdigen Recovery-Umgebung sollen die Root-Passwörter und alle weiteren lokalen Konten mit Passwortmethodik zurückgesetzt werden; danach sollen auch Passwörter geändert werden, die auf anderen Systemen ebenfalls genutzt werden. Zusätzlich sollen Datenbankpasswörter rotieren, ebenso S3-Access-Keys, DigitalOcean-Tokens und alle Secrets, die in Root-Shell-Historien notiert waren. Auf SSH-Ebene sollen die privaten Schlüssel unter /root/.ssh ersetzt werden und die zugehörigen alten öffentlichen Schlüssel müssen auf allen Systemen entfernt werden, die diese Keys noch vertrauen.
Auch der Umgang mit dem Umfang der Neuinstallation wird differenziert: OPSSHIELD empfiehlt nicht pauschal einen kompletten Reset oder einen OS-Rebuild als Routine, sagt aber, dass sich diese Einschätzung mit laufender Untersuchung verändern kann. Finden Admins weitere Anzeichen für Kompromittierung oder können sie die Sauberkeit eines Systems nicht bestätigen, soll eine fallbezogene Prüfung beim Support angestoßen werden, die im Extremfall bis zu einem Rebuild reichen könnte. Als zusätzliche Vorsorgemaßnahme veröffentlicht OPSSHIELD außerdem eine weitere Update-Runde, die Support-Access-Keys von cPGuard-Servern entfernt, auf denen diese zuvor eingebunden wurden. Support Access ist dabei als Funktion beschrieben, mit der OPSSHIELD-Mitarbeitende per SSH in die Systeme gelangen können; dafür wird laut Dokumentation ein OPSSHIELD-öffentlicher Schlüssel in die authorized_keys-Datei des Root-Users geschrieben. Ob der zugehörige private Key im Rahmen des Angriffs offengelegt wurde, sagt OPSSHIELD nicht. Unabhängig davon zeigt der Vorfall, wie eng bei Security-Tools die Vertrauensdomäne von Updates, Authentisierung und Secret-Handling miteinander gekoppelt ist.
Für die Einordnung im Branchenkontext ist außerdem entscheidend, wie sich die „Nachweisbarkeit“ im Dateisystem verhält. OPSSHIELD nennt konkrete Artefakte, die die betroffene Version hinterlassen haben soll: als bösartiges Skript cpguard-v58812-i91511.sh, eine Backdoor-Shell unter /var/tmp/.cpg91511_sh, ein Sammelverzeichnis /var/tmp/.cpg91511 sowie ein Archiv /var/tmp/.cpg91511/loot.tgz. Das Update entfernt Backdoor-Shell und Sammelverzeichnis; daher ist das spätere Fehlen dieser Dateien kein Beleg dafür, dass das Skript nie ausgeführt wurde. Offen bleibt zudem, wie viele Server insgesamt betroffen waren: OPSSHIELD gibt an, die Zahl der vom Lizenzserver aus „abholbaren“ 32 Dateien geschätzt zu haben, wobei jede Datei einem Kundenserver zugeordnet war. Diese Zahl deckt laut Unternehmen nur die bekannten entnommenen Dateien ab und kann sich ändern. Für Betreiber heißt das: Die technische Patchlogik reicht nicht, um den Incident abzuschließen, sondern nur, um die direkte Schadfunktion zu entfernen – die eigentliche Bewertung erfolgt über Logs, Secret-Rotation und eine saubere Validierung der Zugriffswege.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "cPGuard-Update kompromittiert: Backdoor und Passwort-Hashes bei Linux-Servern" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "cPGuard-Update kompromittiert: Backdoor und Passwort-Hashes bei Linux-Servern" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »cPGuard-Update kompromittiert: Backdoor und Passwort-Hashes bei Linux-Servern« bei Google Deutschland suchen, bei Bing oder Google News!