OpsShield ถูกโจมตี Supply Chain ส่งผลให้ cPGuard แพร่กระจายมัลแวร์

OpsShield บริษัทความปลอดภัยไอทีจากอินเดีย ตกเป็นเหยื่อของการโจมตีทางไซเบอร์เมื่อวันจันทร์ที่ผ่านมา ส่งผลให้มีการแพร่กระจายซอฟต์แวร์ cPGuard เวอร์ชันที่มีมัลแวร์ไปยังเครื่องของลูกค้า

OpsShield เป็นผู้เชี่ยวชาญด้านซอฟต์แวร์ป้องกันเซิร์ฟเวอร์และความปลอดภัยเว็บ โดยมีผลิตภัณฑ์หลักคือ cPGuard ซึ่งออกแบบมาสำหรับเว็บโฮสติ้งบนระบบปฏิบัติการ Linux

ตามประกาศแจ้งเหตุการณ์ของบริษัท ระบุว่าผู้โจมตีได้ใช้ข้อมูลประจำตัวที่ถูกเจาะเพื่อเข้าถึงโครงสร้างพื้นฐานการกระจายอัปเดต (CDN) และแพร่กระจายสคริปต์อันตรายผ่านช่องทางอัปเดตปกติของ cPGuard

ซอฟต์แวร์ cPGuard เวอร์ชัน 5.88.12 ถึง 5.88.19 คือรุ่นที่มีรหัสอันตรายปนเปื้อน โดยการโจมตีรูปแบบ Supply Chain นี้ถูกตรวจพบภายใน 12 ชั่วโมงหลังจากเริ่มเหตุการณ์ อย่างไรก็ตามมีการแพร่กระจายอัปเดตปลอมออกไปเป็นเวลาประมาณ 70 นาที

ผู้โจมตีเริ่มต้นจากการมุ่งเป้าไปที่เซิร์ฟเวอร์เรียกเก็บเงินและใบอนุญาตของบริษัท โดยลงทะเบียนบัญชีลูกค้าและสั่งซื้อ cPGuard รุ่นทดลองใช้ฟรีเพื่อศึกษาการทำงานของระบบ จากนั้นจึงส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังพอร์ทัลจนสามารถสั่งการระบบ (command execution) ได้สำเร็จตามรายละเอียดในรายงานฉบับปรับปรุง

หลังจากยึดเซิร์ฟเวอร์ได้ แฮกเกอร์เริ่มรวบรวมข้อมูลและอัปโหลดไฟล์อัปเดต cPGuard ปลอมโดยใช้คีย์เข้าถึงที่ขโมยมา ซึ่งไฟล์ดังกล่าวถูกรันด้วยสิทธิ์ root บนเซิร์ฟเวอร์ลูกค้าที่ทำการตรวจสอบอัปเดตในช่วงเวลานั้น นอกจากนี้ผู้โจมตียังได้คัดลอกข้อมูลเซิร์ฟเวอร์คลาวด์ของบริษัทไปอีก 3 เครื่อง

สคริปต์อันตรายถูกออกแบบมาเพื่อรวบรวมข้อมูลจากลูกค้าและส่งกลับไปยังเซิร์ฟเวอร์ของ OpsShield ภายใต้บัญชีที่แฮกเกอร์ควบคุมอยู่ พบว่ามีไฟล์ข้อมูลจากเซิร์ฟเวอร์ลูกค้า 32 รายถูกดึงออกไป และสคริปต์ยังได้ติดตั้ง root shell ซ่อนไว้รวมถึงไฟล์แปลกปลอมในโฟลเดอร์ temp ของเซิร์ฟเวอร์ที่ตกเป็นเหยื่อ

OpsShield ประเมินว่ามีเซิร์ฟเวอร์ราว 2,950 เครื่องที่รันอัปเดตปลอมนี้ และมีข้อมูลบัญชีลูกค้าประมาณ 7,900 รายการถูกคัดลอกไป ซึ่งประกอบด้วยชื่อ บริษัท ที่อยู่ อีเมล และรหัสผ่านที่ผ่านการแฮช (hashed passwords)

สำหรับแนวทางปฏิบัติเพื่อความปลอดภัย ลูกค้าที่ได้รับผลกระทบต้องทำการเปลี่ยน (rotate) ข้อมูลสำคัญใหม่ทั้งหมด ได้แก่ ค่าแฮชรหัสผ่าน, root SSH keys, รหัสผ่าน root ของ MySQL และประวัติคำสั่ง (shell history) เนื่องจากข้อมูลเหล่านี้ต้องถือว่าถูกเจาะไปแล้ว

ล่าสุด OpsShield ยืนยันว่าได้ขับไล่ผู้โจมตีออกจากระบบทั้งหมดแล้ว พร้อมรีเซ็ต SSH keys, API keys และรหัสผ่านใหม่ รวมถึงกำลังสร้างระบบบริหารจัดการภายในใหม่ทั้งหมด นอกจากนี้ยังได้ออกอัปเดต cPGuard (เวอร์ชัน 5.88.25 ขึ้นไป) เพื่อกำจัด root shell และไฟล์อันตรายที่ตกค้าง พร้อมเผยแพร่ข้อมูลดัชนีบ่งชี้การบุกรุก (IoCs) ให้ตรวจสอบต่อไป