תוקף שטרם זוהה נכנס ב-2 בנובמבר, עם פרטי גישה שנגנבו, למערכת העדכונים של cPGuard, כלי אבטחה לשרתי לינוקס של חברת OPSSHIELD, והפיץ דרכה סקריפט זדוני בגרסאות 5.88.12 עד 5.88.19. לפי החברה, הסקריפט התקין דלת אחורית ואסף קבצים רגישים, ביניהם קובצי הסיסמאות של המערכת, הגדרות מסד הנתונים של root, היסטוריית הפקודות ומפתחות SSH. המתקפה זוהתה תוך 12 שעות.
החומר שנאסף הועלה לשרת רישוי של OPSSHIELD עצמה דרך חשבון שנפרץ, והתוקף לקח משם 32 קבצים, כל אחד של שרת לקוח אחד. החברה מדגישה שהמספר עשוי להשתנות ושאינו מעיד על מספר השרתים שנפגעו. היא החליפה את פרטי הגישה לתשתית, אבטחה את החשבון ועדיין חוקרת איך הושגו הפרטים.
מה לעשות: לעדכן ל-cPGuard 5.88.25 ומעלה, שמסירה את הדלת האחורית ואת הקבצים שהשאיר הסקריפט, ולבדוק ביומן העדכונים אם הותקנה אחת הגרסאות הפגועות. שרת שהתקין גרסה כזו צריך להיחשב פרוץ: להחליף את כל הסיסמאות, מפתחות ה-SSH והסודות שנשמרו בו, גם אחרי העדכון. מי שלא בטוח מתבקש לפנות לתמיכה של OPSSHIELD.