Atualização maliciosa de um programa de segurança para Linux coletava senhas e chaves de acesso de servidores

Em 2 de novembro de 2026, às 02h06 UTC, que correspondem a 23h06 de 1º de novembro em Brasília, um atacante usou credenciais comprometidas para entrar na infraestrutura de distribuição de atualizações da OPSSHIELD, empresa que fornece o cPGuard.

O que aconteceu

Com esse acesso, o atacante publicou um script malicioso no canal de atualizações das versões 5.88.12 a 5.88.19 do cPGuard, programa que protege servidores Linux.

A empresa diz que detectou o ataque cerca de 12 horas depois do lançamento dessas versões, e que nem todos os servidores que receberam a atualização chegaram a executar o script, porque as verificações acontecem em intervalos.

Segundo o aviso oficial, a investigação ainda não sabe como as credenciais foram obtidas, e esse é o ponto que mais interessa para a perícia do incidente.

O que o script coletava

De acordo com o aviso, o script rodava com privilégio de root e enviava ao servidor de licenciamento da empresa o arquivo /etc/shadow, o arquivo /etc/passwd, a configuração de root do MariaDB ou MySQL, o histórico de comandos do shell de root e os arquivos de autorização e de hosts conhecidos do SSH.

A empresa confirmou que o atacante recuperou parte desses dados do servidor de licenciamento, e a estimativa preliminar é de 32 arquivos, cada um correspondente a um servidor de cliente.

O próprio aviso deixa claro que esse número não é o total de servidores afetados, e que a verificação do escopo continua.

Por que o arquivo de senhas importa

O /etc/shadow guarda o hash das senhas das contas locais, e não o texto da senha, mas um hash de senha fraca ou já conhecida pode ser testado offline contra listas de senhas comuns.

Senhas longas e aleatórias resistem melhor a esse teste, mas o aviso lembra que a proteção depende também do método de hash e da configuração usada.

Além das senhas, o histórico de comandos e as chaves SSH podem dar acesso a outros sistemas que confiam nelas, e por isso o aviso manda trocar essas chaves em todos os lugares onde elas são aceitas.

O que a administração deve fazer

A versão 5.88.25 ou posterior remove o script conhecido e os arquivos que ele deixou, e a empresa pede que a instalação seja conferida depois da atualização.

Se o script rodou ou pode ter rodado, a orientação é tratar o servidor como comprometido, porque a atualização não apaga as credenciais que já foram copiadas.

Isso inclui trocar as senhas de root e das contas locais a partir de um ambiente de recuperação confiável, rotacionar senhas de banco de dados, chaves de acesso a armazenamento e tokens guardados no servidor, e substituir as chaves SSH privadas.

A empresa não recomenda, por enquanto, reinstalar o sistema operacional como resposta de rotina, mas admite que essa avaliação é provisória e que a reinstalação pode ser necessária se a integridade do servidor não puder ser comprovada.

Como medida de precaução, a OPSSHIELD também publicou uma atualização para remover as chaves de acesso de suporte que mantinha nos servidores dos clientes.

Para a perícia, o registro de atualizações mostra que a versão afetada foi instalada, mas não prova que o script foi executado nem que algum dado saiu do servidor.