ระบบอัปเดต cPGuard ถูกแฮก ส่งสคริปต์ฝังแบ็กดอร์ลงเซิร์ฟเวอร์ Linux ของลูกค้า
OPSSHIELD ยืนยันว่าคนร้ายใช้ช่องทางอัปเดต cPGuard รุ่น 5.88.12–5.88.19 ฝังแบ็กดอร์และขโมยไฟล์รหัสผ่านจากเซิร์ฟเวอร์โฮสติ้ง ผู้ดูแลต้องอัปเดตเป็น 5.88.25 และเปลี่ยนรหัสผ่าน/คีย์ทั้งหมด
cPGuard เป็นโปรแกรมรักษาความปลอดภัยที่ผู้ให้บริการเว็บโฮสติ้งติดตั้งบนเซิร์ฟเวอร์ที่ใช้ cPanel หรือ DirectAdmin บริษัท OPSSHIELD ผู้ผลิตแจ้งว่าเมื่อ 2 พ.ย. 2569 เวลาประมาณ 09:06 น. ตามเวลาไทย คนร้ายที่ยังไม่ทราบตัวใช้รหัสเข้าระบบที่ถูกขโมยมา เจาะเข้าระบบแจกจ่ายอัปเดต แล้วแอบใส่สคริปต์อันตรายไปกับอัปเดตรุ่น 5.88.12 ถึง 5.88.19 ซึ่งเซิร์ฟเวอร์ลูกค้าดึงไปติดตั้งเองอัตโนมัติ บริษัทตรวจพบภายในราว 12 ชั่วโมง
สคริปต์นั้นทำงานด้วยสิทธิ์สูงสุด ฝังแบ็กดอร์ไว้ในเครื่อง และเก็บไฟล์สำคัญ ได้แก่ /etc/shadow ที่เก็บค่าแฮชรหัสผ่านของบัญชีในเครื่อง ไฟล์ตั้งค่า MySQL/MariaDB ของ root ประวัติคำสั่งของ root และไฟล์คีย์ SSH จากนั้นส่งขึ้นไปพักไว้บนเซิร์ฟเวอร์ไลเซนส์ของ OPSSHIELD เองผ่านบัญชีที่ถูกยึด บริษัทยืนยันว่าคนร้ายดึงข้อมูลบางส่วนออกไปแล้ว แต่ยังไม่รู้ว่าได้ไปจากเซิร์ฟเวอร์ไหนบ้าง
รุ่น 5.88.25 ขึ้นไปจะลบแบ็กดอร์และไฟล์ที่สคริปต์ทิ้งไว้ แต่ไม่ได้ทำให้รหัสผ่านหรือคีย์ที่ถูกคัดลอกไปแล้วใช้ไม่ได้ เพราะฉะนั้นการอัปเดตอย่างเดียวยังไม่พอ ผู้ได้รับผลกระทบโดยตรงคือบริษัทโฮสติ้งและผู้ดูแลเซิร์ฟเวอร์ แต่เจ้าของเว็บที่เช่าโฮสต์อยู่ก็อาจโดนผลกระทบทางอ้อม ถ้าผู้ให้บริการของตนใช้ cPGuard
เหตุนี้เป็นอีกตัวอย่างของการโจมตีห่วงโซ่อุปทาน (supply chain) ที่คนร้ายไม่ต้องเจาะเหยื่อทีละราย แต่ยึดช่องทางอัปเดตของซอฟต์แวร์ที่เหยื่อไว้ใจ แล้วปล่อยให้โปรแกรมพามัลแวร์เข้าไปเอง
ควรทำอะไร
- ผู้ดูแลเซิร์ฟเวอร์ที่ใช้ cPGuard ให้อัปเดตทันทีด้วย
cpgcli update --startแล้วเช็กว่าcpgcli --versionขึ้น 5.88.25 หรือใหม่กว่า - ตรวจประวัติอัปเดตใน /opt/cpguard/logs/install_log ถ้าเคยติดตั้งรุ่น 5.88.12–5.88.19 ให้ถือว่าเครื่องอาจถูกเจาะ
- เปลี่ยนรหัสผ่าน root และบัญชีในเครื่อง รหัสฐานข้อมูล คีย์ API/คลาวด์ที่เคยพิมพ์ในเชลล์ และสร้างคีย์ SSH ใหม่ พร้อมลบคีย์เก่าออกจากทุกเครื่องที่เชื่อถือมัน
- เจ้าของเว็บที่เช่าโฮสต์ ถามผู้ให้บริการว่าใช้ cPGuard หรือไม่ และเปลี่ยนรหัสผ่านแผงควบคุมกับฐานข้อมูลไว้ก่อน