Secuestran las actualizaciones de cPGuard: un backdoor robó las claves root de unos 2.950 servidores Linux

La suite que miles de administradores usan para proteger sus servidores Linux fue, durante poco más de una hora, el vehículo del ataque. OPSSHIELD ha confirmado hoy, en una divulgación propia, que un atacante entró en su servidor de facturación y licencias, robó la clave con la que publica actualizaciones y repartió una versión falsa de cPGuard que unos 2.950 servidores ejecutaron. BleepingComputer, que ha hablado con un portavoz, sitúa la cifra en 2.946.

La cadena fue rápida. Según OPSSHIELD, el atacante tanteó su portal el 1 de noviembre, se registró como cliente falso, estudió cómo habla el agente de cPGuard con el sistema de licencias y esa noche consiguió ejecutar comandos en el servidor. El 2 de noviembre, entre las 02:08 y las 03:20 UTC, los agentes instalaron la actualización falsa: unos 70 minutos bastaron. Las versiones comprometidas son las 5.88.12 a 5.88.19, según BleepingComputer y The Hacker News.

Lo que el script se llevó es la caja fuerte entera de cada servidor: los hashes de /etc/shadow y /etc/passwd, las claves SSH privadas de root, la contraseña root de MySQL de /root/.my.cnf, el historial de comandos de root —donde suelen quedar contraseñas y tokens— y, en pocos casos, claves de nube. Además dejó una shell oculta de root en /var/tmp/.cpg91511_sh. En paralelo, el atacante copió los registros de unas 7.900 cuentas del portal de facturación: nombre, empresa, dirección, correo y contraseña como hash bcrypt.

OPSSHIELD lo ha contado todo y rápido: revocó la clave robada, publicó una actualización limpia —la 5.88.26, según su divulgación; The Hacker News señala que desde la 5.88.25 ya se elimina el backdoor— y reconstruye los servidores tocados. Pero actualizar no basta: quien tuviera cPGuard en línea en esa ventana debe asumir que sus secretos de root son conocidos y rotarlos —contraseñas locales y de MySQL, claves SSH nuevas retirando las viejas y cualquier token del historial— y restablecer la contraseña del portal con doble factor.

Es el patrón que más se repite en la cadena de suministro: no hace falta romper mil servidores si basta con romper el canal por el que todos se actualizan. El agravante es el producto: cPGuard se instala para endurecer servidores de hosting con cPanel, DirectAdmin o Plesk, y corre como root. La lección es incómoda: una actualización automática también es una superficie de ataque, y la pregunta no es solo qué parcheas, sino quién firma lo que instalas.