cPGuard'ın güncelleme kanalı ele geçirildi, şirkete göre 2.946 sunucu etkilendi

Linux web sunucuları için güvenlik yazılımı cPGuard’ın geliştiricisi OPSSHIELD, 3 Kasım’da yayımladığı güvenlik duyurusunda, kimliği belirlenemeyen bir saldırganın 2 Kasım’da UTC saatiyle 02.06’da (Türkiye saatiyle 05.06) ele geçirilmiş kimlik bilgileriyle şirketin güncelleme dağıtım altyapısına (CDN) girdiğini açıkladı. Saldırgan bu erişimle cPGuard’ın güncelleme kanalından müşteri sunucularına zararlı bir betik gönderdi. OPSSHIELD, saldırganın kimlik bilgilerini nasıl elde ettiğini araştırıyor.

BleepingComputer’a göre cPGuard, zararlı yazılım taraması, güvenlik duvarı ve saldırı koruması sunan bir Linux web sunucusu güvenlik paketi. Barındırma şirketleri ve sunucu yöneticileri tarafından cPanel, DirectAdmin ve Plesk gibi panellerle birlikte kullanılıyor. OPSSHIELD sözcüsü BleepingComputer’a, 2.946 sunucunun etkilendiğini ve bu sunuculardaki bilgilerin kopyalandığını, şirketin faturalama sistemi veritabanının da kopyalandığını söyledi.

Etkilenen sürümler

OPSSHIELD’a göre zararlı betik cPGuard’ın 5.88.12 ile 5.88.19 arasındaki sürümleriyle dağıtıldı ve saldırı, bu sürümlerin çıkmasından sonraki 12 saat içinde fark edildi. Sunucular güncellemeleri belirli aralıklarla kontrol ettiği için bazı sunucularda betik çalışmamış olabilir. Şirket, bunun hangi sunuculardan veri alındığını göstermediğini de belirtiyor. OPSSHIELD ilk duyurusunda kaç sunucunun bu sürümleri kurduğunu belirtmemişti. Şirket sözcüsü BleepingComputer’a bu sayıyı 2.946 olarak vermişti, OPSSHIELD’ın ayrıntılı açıklamasında ise yaklaşık 2.950 olarak geçiyor.

Yöneticiler, sunucunun etkilenen bir sürümü kurup kurmadığını güncelleme kaydında arayarak görebiliyor:

grep 'Successfully updated' /opt/cpguard/logs/install_log

OPSSHIELD’a göre kayıtta 5.88.12 ile 5.88.19 arasında bir sürüm görünüyorsa sunucu, şu an 5.88.25 ya da sonrasını çalıştırsa bile ele geçirilmiş olabilir sayılmalı. Bu kayıt betiğin çalıştığını ya da veri alındığını tek başına kanıtlamıyor. Kayıtta eşleşme olmaması ya da kaydın eksik olması da sunucunun etkilenmediğini göstermiyor.

Toplanan veriler

OPSSHIELD’a göre betik şu verileri topladı:

• /etc/shadow ve /etc/passwd dosyaları
• root kullanıcısının MariaDB ya da MySQL yapılandırması (my.cnf)
• root kullanıcısının kabuk geçmişi
• root kullanıcısının SSH yetkilendirme (authorized keys) ve bilinen sunucular (known hosts) dosyaları

Şirket, bu dosyaların her sunucudan alınmamış olabileceğini belirtiyor. Betik topladığı verileri, ele geçirilmiş bir hesap üzerinden OPSSHIELD’ın kendi lisans sunucusuna yükledi, saldırgan da verileri daha sonra buradan aldı. OPSSHIELD’ın 3 Kasım’daki ön tahminine göre saldırgan bu sunucudan, her biri bir müşteri sunucusuna ait 32 dosya aldı. Şirket bunun yalnızca doğrulanmış veri alımı olduğunu, toplam etkilenen sunucu sayısı olmadığını vurguluyor.

OPSSHIELD’a göre /etc/shadow dosyasındaki parolalar tek yönlü özetler (hash) olarak saklanıyor ve doğrudan parola olarak kullanılamıyor. Ancak basit, yaygın ya da daha önce sızmış parolalar bu özetlerden çevrim dışı denemelerle bulunabiliyor. Veritabanı yapılandırmasındaki ve kabuk geçmişindeki gizli bilgiler ise hiçbir şekilde korunmuyor.

Şirkete göre betiğin kurduğu arka kapı ve veri toplama dışında şu ana kadar başka bir zararlı faaliyet bulunmadı. OPSSHIELD bunun ön bulgu olduğunu ve henüz tespit edilmemiş faaliyetleri dışlamadığını belirtiyor.

Önerilen önlemler

OPSSHIELD’a göre:

• Bütün cPGuard sunucuları cpgcli update --start komutuyla güncellenmeli ve cpgcli --version ile sürümün 5.88.25 ya da sonrası olduğu kontrol edilmeli. Bu sürüm, bilinen arka kapıyı ve betiğin bıraktığı dosyaları siliyor.
• Betiğin çalışmış olabileceği sunucularda root ve parolası olan bütün yerel Linux hesaplarının parolaları güvenilir bir kurtarma ortamından değiştirilmeli. Başka sistemlerde de kullanılan parolalar güvenilir bir cihazdan değiştirilmeli.
• Veritabanı parolaları, S3 erişim anahtarları, DigitalOcean anahtarları ve root kullanıcısının kabuk geçmişinde geçen gizli bilgiler yenilenmeli.
• /root/.ssh altındaki SSH özel anahtarları değiştirilmeli ve eski açık anahtarlar bunlara güvenen bütün sistemlerden kaldırılmalı.

Şirket, eldeki bilgilere göre sunucuların sıfırdan kurulmasını şimdilik olağan bir önlem olarak önermiyor, ancak başka ele geçirme izleri görenlerin destek ekibine başvurmasını istiyor. OPSSHIELD ayrıca önlem olarak, daha önce sunuculara eklenmiş olan kendi destek erişimi anahtarlarını kaldıran bir güncelleme yayımladığını açıkladı.

Duyuruya göre zararlı betiğin adı cpguard-v58812-i91511.sh. Güncellemenin sildiği arka kapı /var/tmp/.cpg91511_sh, veri toplama klasörü /var/tmp/.cpg91511 ve betiğin hazırladığı arşiv /var/tmp/.cpg91511/loot.tgz. OPSSHIELD, temizlikten sonra bu dosyaların olmamasının betiğin daha önce çalışmadığını göstermediğini belirtiyor. OPSSHIELD’ın saldırının nasıl gerçekleştiğini anlatan ayrıntılı açıklamasının özeti güncelleme notunda.