🔍 Contexte

Le 3 novembre 2026, OPSSHIELD a publié un avis de sécurité sur son site officiel (opsshield.com) concernant une compromission de son infrastructure de distribution de mises à jour (CDN). L’incident a débuté le 2 novembre 2026 à 02:06 UTC.

💥 Déroulement de l’attaque

Un attaquant non identifié a utilisé des identifiants compromis pour accéder à l’infrastructure CDN d’OPSSHIELD. Il a ensuite distribué un script malveillant (cpguard-v58812-i91511.sh) via le canal officiel de mise à jour de cPGuard, affectant les versions 5.88.12 à 5.88.19. La détection est intervenue dans les 12 heures suivant la distribution des mises à jour compromises.

📦 Données collectées par le script

Le script a collecté les éléments suivants et les a exfiltrés vers le serveur de licences OPSSHIELD (sous un compte compromis) :

  • /etc/shadow et /etc/passwd
  • Configuration root MariaDB/MySQL (my.cnf)
  • Historique shell root
  • Fichiers SSH d’autorisation et known-hosts de root

L’attaquant a confirmément récupéré des données correspondant à 32 serveurs clients.

🛠️ Indicateurs de compromission connus

  • Script malveillant : cpguard-v58812-i91511.sh
  • Backdoor : /var/tmp/.cpg91511_sh
  • Répertoire de collecte : /var/tmp/.cpg91511
  • Archive exfiltrée : /var/tmp/.cpg91511/loot.tgz

🔧 Réponse d’OPSSHIELD

OPSSHIELD a sécurisé le compte compromis, purgé les identifiants d’infrastructure, et stoppé la distribution du script. La version 5.88.25 supprime le backdoor connu et les fichiers déposés par le script. Une mise à jour supplémentaire supprime également les clés d’accès support d’OPSSHIELD des serveurs clients.

📰 Nature de l’article

Il s’agit d’un avis de sécurité officiel (security advisory) publié par le vendeur OPSSHIELD, visant à informer les administrateurs de l’incident, à documenter les versions affectées, les données collectées et les indicateurs de compromission connus.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1020 — Automated Exfiltration (Exfiltration)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1074.001 — Data Staged: Local Data Staging (Collection)
  • T1176 — Browser Extensions (Persistence)
  • T1543 — Create or Modify System Process (Persistence)

IOC

  • Fichiers : cpguard-v58812-i91511.sh
  • Fichiers : loot.tgz
  • Chemins : /var/tmp/.cpg91511_sh
  • Chemins : /var/tmp/.cpg91511
  • Chemins : /var/tmp/.cpg91511/loot.tgz

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • cpguard-v58812-i91511.sh (other)

🟡 Indice de vérification factuelle : 50/100 (moyenne)

  • ⬜ opsshield.com — source non référencée (0pts)
  • ✅ 8458 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 5 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://opsshield.com/notice/cpguard-update-channel-compromise.html