Los atacantes han comprometido la infraestructura de actualización de la suite de seguridad web cPGuard para distribuir un backdoor y un script de robo de datos. OpsShield, el desarrollador de cPGuard, publicó una alerta hoy mismo indicando que el ataque comenzó el 2 de noviembre a las 02:06 UTC y afectó a las versiones 5.88.12 a 5.88.19.
El proveedor afirma que detectó el compromiso y detuvo la distribución maliciosa en un plazo de 12 horas después de que el atacante publicara las versiones comprometidas de cPGuard. Aunque la empresa no pudo confirmarlo, señaló que algunos servidores podrían no haber recibido ni ejecutado el script malicioso debido a que las comprobaciones de actualización se realizan en intervalos específicos.
El atacante utilizó credenciales legítimas para obtener acceso inicial, aunque aún no está claro cómo las obtuvo. «El 2 de noviembre de 2026 a las 02:06 UTC, un atacante no identificado utilizó credenciales comprometidas para obtener acceso no autorizado a la infraestructura de distribución de actualizaciones de OpsShield (CDN)», declaró OpsShield. «El atacante utilizó este acceso para distribuir un script malicioso a través del canal de actualización de cPGuard».
cPGuard es una suite de seguridad para servidores web Linux que ofrece escaneo de malware, firewalls y protección contra ataques. Es utilizada habitualmente por empresas de hosting y administradores de servidores junto con paneles como cPanel, DirectAdmin y Plesk. Namecheap la ofrece en servidores VPS y dedicados.
Los usuarios que actualizaron cPGuard durante la ventana de compromiso recibieron un script que atacaba datos sensibles en sus máquinas:
- Hashes de contraseñas de Linux
- Configuración de la base de datos root (MariaDB/MySQL)
- Historial de shell de root
- Archivos de autorización SSH de root y known-hosts
Los datos robados se cargaron en el servidor de licencias de OpsShield a través de una cuenta comprometida, que los atacantes usaron luego para recuperarlos. Si bien OpsShield no ha determinado qué datos se recopilaron de cada servidor, la evidencia de la investigación muestra que el actor de amenazas recuperó 32 archivos de cada cliente.
Se recomienda a los administradores de sistemas actualizar todos los servidores cPGuard a la versión 5.88.25 o posterior, restablecer contraseñas y rotar las credenciales de bases de datos, secretos en la nube y claves SSH. OpsShield señala que la actualización a la última versión de cPGuard elimina el backdoor y los archivos preparados; sin embargo, las credenciales robadas deben invalidarse lo antes posible.
El proveedor también indicó que, como precaución adicional, lanzará una actualización para eliminar las claves de acceso de soporte de OpsShield instaladas previamente.
BleepingComputer se ha puesto en contacto con OpsShield para obtener más información sobre el ataque, y un portavoz nos dijo que el incidente ha afectado a casi tres mil servidores.
«Detectamos que 2946 servidores se vieron afectados y copiaron la información mencionada, y la base de datos de nuestro sistema de facturación también fue copiada. Estamos trabajando para bloquear todos los accesos, reconstruir los sistemas afectados y prepararnos para un anuncio público lo antes posible», dijo el representante de la empresa.
La empresa también aconseja a los clientes seguir las instrucciones y actualizar cPGuard a la versión 5.88.25 o posterior, y restablecer o rotar las credenciales que puedan haberse visto expuestas en servidores potencialmente comprometidos.
Deja una respuesta