Бэкдор пришёл вместе с обновлением безопасности
Бэкдор пришёл вместе с обновлением безопасности Обновления cPGuard подменили на 72 минуты: почти 3000 Linux-серверов остались с бэкдором, а с них ушли хеши паролей и ключи. Недавно ко мне пришёл владелец небольшой интернет-студии. Утром хостинг-провайдер написал ему, что сервер рассылает странный трафик. Сайты клиентов работали, но его не оставляло ощущение, что что-то не так. Первым делом я посмотрел историю обновлений. Вскоре выяснилось, что накануне вечером сервер сам скачал свежую версию защитного модуля cPGuard. Обычная автоматическая установка, которую ставят ради безопасности и о которой потом не вспоминают. Что произошло на самом деле Злоумышленник подменил файлы обновления. Окно было короткое, 72 минуты, но этого хватило: пакет с бэкдором получили почти 3000 Linux-серверов. Программа тихо собирала хеши паролей, SSH-ключи и настройки подключения к базам данных. Объясню без жаргона. Хеш пароля — это его «слепок»: по нему подбирают сам пароль. SSH-ключ — это ключ от входа на сервер, причём вход по нему обходит любой пароль. Вместе они дают постороннему возможность зайти к вам, как к себе домой. Сколько это стоит бизнесу • Доступ к базам клиентов: заказы, контакты, переписка уйдут к посторонним. • Простой сайтов на время остановки и чистки сервера. • Недоверие клиентов, которым придётся объяснять, почему их данные оказались не у вас одних. • Смена всех паролей и ключей, на что у небольшой команды легко уходит несколько дней. Самое неприятное здесь то, что владелец студии не нарушал никаких правил. Он поставил защиту и включил обновления, как советуют все. Именно этим и воспользовались. Что я сделал, а что делать вам 1. Изолировал сервер и остановил подозрительные процессы. Было: сервер отдавал данные наружу. Стало: утечка прекращена. 2. Сменил все пароли и перевыпустил SSH-ключи, включая те, что лежали на самом сервере. Было: у постороннего оставался рабочий ключ от входа. Стало: украденные данные превратились в мусор. 3. Закрыл вход по паролю, оставил только доступ по ключам и добавил двухфакторную защиту. Было: достаточно подобрать пароль. Стало: одного пароля мало. 4. Отключил слепое автообновление: теперь обновления сначала ставятся на тестовую копию, а на рабочий сервер идут с задержкой. Было: чужой код попадал на сервер за минуты. Стало: у нас есть запас времени, чтобы заметить подмену. 5. Настроил уведомление руководителю в мессенджер: при входе на сервер с незнакомого адреса сообщение приходит сразу. Было: о взломе узнавали от провайдера. Стало: узнаёт владелец, пока ещё не поздно. Вся работа заняла один рабочий день. По деньгам это несопоставимо с тем, что стоила бы потеря клиентской базы. Вывод простой: доверие к автоматическим обновлениям — это тоже риск, и им нужно управлять. Защита, которую вы поставили и забыли, сама может стать входом для посторонних. А у вас обновления на сервере ставятся сами, и кто-нибудь проверяет, что именно приходит? #безопасность #бэкдор #cpguard #linux Полный разбор с деталями кейса → Генеральный партнёр CIOlogia — ИБ-интегратор TS Solution. Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram
Канал в каталоге Максиметера
188 подписчиков · Бизнес