Cảnh báo: Công cụ bảo mật cPGuard bị hacker chiếm quyền điều khiển làm backdoor

• Sự cố chuỗi cung ứng: Kẻ tấn công đã chiếm quyền truy cập vào hạ tầng phân phối cập nhật của cPGuard để phát tán mã độc.
• Phạm vi ảnh hưởng: Các phiên bản từ 5.88.12 đến 5.88.19 bị xác định là chứa script độc hại.
• Hành vi mã độc: Script thực hiện thu thập dữ liệu nhạy cảm bao gồm tệp cấu hình hệ thống, thông tin xác thực và lịch sử shell.
• Khuyến nghị khẩn cấp: Quản trị viên cần cập nhật ngay lên phiên bản 5.88.25 trở lên và thực hiện xoay vòng toàn bộ thông tin xác thực.

Một chiến dịch tấn công chuỗi cung ứng (supply chain attack) tinh vi vừa được ghi nhận nhắm vào cPGuard, một công cụ bảo mật phổ biến trên các máy chủ Linux hosting. Theo báo cáo từ các chuyên gia an ninh mạng, kẻ tấn công đã xâm nhập thành công vào kênh phân phối cập nhật của nhà cung cấp, biến một tiến trình bảo mật tin cậy thành phương thức phát tán mã độc backdoor.

Phân tích cơ chế tấn công và xâm nhập

Sự cố bắt đầu vào ngày 2 tháng 11 năm 2026, khi kẻ tấn công sử dụng thông tin xác thực bị đánh cắp để truy cập vào hạ tầng phân phối cập nhật (CDN) của OPSSHIELD. Mặc dù phương thức chiếm đoạt thông tin xác thực vẫn đang trong quá trình điều tra, nhưng hành động này đã cho phép kẻ tấn công chèn mã độc vào các bản cập nhật từ phiên bản 5.88.12 đến 5.88.19.

Kỹ thuật này tận dụng sự tin tưởng của quản trị viên đối với các tiến trình cập nhật phần mềm tự động. Khi máy chủ thực hiện kiểm tra cập nhật định kỳ, mã độc sẽ được tải về và thực thi với quyền hạn của tiến trình cPGuard, từ đó mở ra cánh cửa hậu (backdoor) cho phép kẻ tấn công duy trì sự hiện diện lâu dài trên hệ thống.

Các chỉ số nhận diện (IOCs) và dấu vết kỹ thuật

Dựa trên phân tích từ các nhà nghiên cứu, dưới đây là các chỉ số nhận diện (IOCs) mà quản trị viên cần lưu ý để kiểm tra tính toàn vẹn của hệ thống:

Mức độ ảnh hưởng và dữ liệu bị đánh cắp

Mã độc được thiết kế để thu thập các tệp tin hệ thống quan trọng trên Linux, bao gồm /etc/shadow (chứa hash mật khẩu), /etc/passwd, cấu hình root của MariaDB/MySQL, lịch sử lệnh shell của root, và các tệp cấu hình SSH (authorized_keys, known_hosts). Việc thu thập các tệp này cho phép kẻ tấn công thực hiện các cuộc tấn công brute-force offline hoặc leo thang đặc quyền.

⚠️ Cảnh báo quan trọng: Dữ liệu bị đánh cắp đã được gửi về máy chủ cấp phép (licensing server) của chính OPSSHIELD dưới một tài khoản bị chiếm quyền. Mặc dù nhà cung cấp đã ngăn chặn, nhưng các thông tin xác thực đã bị lộ cần được coi là không còn an toàn.

Hướng dẫn khắc phục và Hardening hệ thống

Để đảm bảo an toàn, quản trị viên cần thực hiện ngay quy trình xử lý sự cố theo các bước sau:

• Kiểm tra lịch sử cập nhật: Sử dụng lệnh sau để xác định xem máy chủ có cài đặt phiên bản bị ảnh hưởng hay không:

  grep 'Successfully updated' /opt/cpguard/logs/install_log

• Cập nhật phần mềm: Chạy lệnh sau để cập nhật lên phiên bản an toàn nhất (5.88.25 trở lên):

  cpgcli update --start && cpgcli --version

• Xoay vòng thông tin xác thực: Thực hiện thay đổi mật khẩu root, mật khẩu cơ sở dữ liệu, xoay vòng các khóa API (S3, DigitalOcean) và thay thế toàn bộ các cặp khóa SSH private/public trong /root/.ssh.

Việc thay thế khóa SSH là cực kỳ quan trọng để ngăn chặn kẻ tấn công sử dụng các khóa cũ đã bị đánh cắp để truy cập lại vào hệ thống. Ngoài ra, quản trị viên nên kiểm tra kỹ các tệp cấu hình hệ thống để đảm bảo không còn các backdoor ẩn hoặc các tài khoản người dùng lạ được tạo ra trong thời gian xảy ra sự cố. Tham khảo thêm thông tin chi tiết tại CISA về các hướng dẫn bảo mật chuỗi cung ứng phần mềm.