El 4 de noviembre de 2026, OpsShield informó de un ataque que permitió distribuir versiones maliciosas de cPGuard, su software de protección para servidores Linux de alojamiento web. Los atacantes utilizaron credenciales comprometidas para acceder a la infraestructura de distribución de actualizaciones de la empresa.
Las versiones 5.88.12 a 5.88.19 incluían un script malicioso que se ejecutaba con privilegios de root en los servidores que consultaron la infraestructura de actualización durante una ventana de aproximadamente 70 minutos. OpsShield detectó el ataque en un plazo de 12 horas.
Según la empresa, los atacantes accedieron inicialmente al servidor de facturación y licencias tras registrar una cuenta de cliente y solicitar una prueba gratuita de cPGuard. Después de obtener ejecución de comandos, recopilaron datos y cargaron una actualización falsa mediante una clave de acceso robada. También copiaron tres servidores cloud de OpsShield.
El script recopilaba información y la enviaba al servidor de licencias de OpsShield. La compañía estima que 2.950 servidores ejecutaron las actualizaciones falsas y que los atacantes copiaron aproximadamente 7.900 registros de cuentas de clientes, con nombres, empresas, direcciones, correos electrónicos y contraseñas con hash. OpsShield indicó que deben considerarse comprometidos y rotarse los hashes de contraseñas, las claves SSH de root, las contraseñas root de MySQL y el historial de shell de los servidores afectados.
El código malicioso también instalaba una shell root oculta y archivos adicionales en el directorio temporal. OpsShield publicó las versiones 5.88.25 y posteriores de cPGuard para eliminar estos elementos, además de indicadores de compromiso. La empresa afirma haber expulsado a los atacantes, revocado sus claves, sustituido claves SSH y contraseñas, reiniciado sesiones del portal de facturación y rotado las claves API asociadas.
OpsShield también comenzó a reemitir las claves privadas y públicas de licencia de cPGuard y está reconstruyendo sus servidores de facturación, licencias y gestión interna. La información fue publicada por SecurityWeek: https://www.securityweek.com/malicious-cpguard-updates-served-in-opsshield-supply-chain-attack/.
Fuente: SecurityWeek
Más noticias
Manipulan el lanzador de NIKKE para distribuir malware de acceso remoto y robo de datos
Google Calendar se utiliza en una campaña de phishing que secuestra sesiones y evita MFA
Hackers explotan vulnerabilidades n-day en ataques sin clic contra dispositivos iOS y Android
Comprometen las actualizaciones de cPGuard para distribuir un backdoor y robar datos
Hackers chinos usan ARTEX AI en ataques automatizados contra 200 organizaciones
Google desmantela la botnet XCPE con más de 1,3 millones de dispositivos Android