cPGuard, aggiornamento infetto colpisce 2.950 server: WorkOS violata con ARTEX AI

📌 In Sintesi

• cPGuard distribuisce un aggiornamento malevolo: OpsShield conferma la compromissione dell’infrastruttura di distribuzione. Circa 2.950 server avrebbero eseguito l’update infetto, mentre risultano esposti anche 7.900 account del portale clienti.
• Credenziali e chiavi SSH nel mirino: il malware raccoglie hash delle password Linux, configurazioni MySQL, cronologia della shell e dati SSH. Le versioni cPGuard 5.88.25 e successive rimuovono i componenti malevoli conosciuti.
• WorkOS colpita con ARTEX AI: un framework offensivo assistito dall’intelligenza artificiale viene utilizzato contro un’applicazione commerciale interna. Esposti dati CRM e comunicazioni, senza evidenze di compromissione dei servizi produttivi.

Due incidenti informatici colpiscono componenti strategiche della fiducia digitale: gli aggiornamenti di un software di sicurezza per server Linux e un’applicazione aziendale utilizzata da un fornitore di servizi di autenticazione. Il 2 novembre 2026, un attaccante compromette l’infrastruttura di OpsShield e distribuisce attraverso il canale ufficiale di cPGuard un aggiornamento contenente una backdoor e un sistema di raccolta delle credenziali. Il produttore stima circa 2.950 server coinvolti. Parallelamente, WorkOS conferma un’intrusione nella propria applicazione commerciale interna, nella quale viene utilizzato un framework offensivo assistito dall’AI, identificato come ARTEX dal fondatore dell’azienda. Gli incidenti sono distinti e non esistono elementi che li colleghino allo stesso gruppo criminale. Entrambi mostrano però come strumenti considerati affidabili possano trasformarsi in punti d’accesso privilegiati per gli aggressori.

Leggi anche: UNC7017 colpisce AOMEI: supply chain attiva per soli cinque minuti

cPGuard compromesso attraverso il portale OpsShield e il canale degli aggiornamenti

La ricostruzione ufficiale pubblicata da OpsShield colloca l’inizio dell’operazione al 1° novembre, quando un attaccante comincia a esaminare il portale commerciale manage.opsshield.com. Dopo avere creato un account cliente e installato una versione di prova di cPGuard, l’intruso studia le comunicazioni fra il software e il sistema di licenze. Alle 22:58 UTC ottiene la capacità di eseguire comandi sul server utilizzato per fatturazione e gestione delle licenze, attraverso richieste costruite contro le pagine di callback del portale.

L’accesso permette di sottrarre una chiave utilizzata per pubblicare gli aggiornamenti. Fra le 02:04 e le 02:09 UTC del 2 novembre, l’attaccante carica un pacchetto malevolo nell’infrastruttura di distribuzione. Gli aggiornamenti compromessi vengono installati fra le 02:08 e le 03:20 UTC, interessando le versioni 5.88.12–5.88.19. Il codice viene eseguito con privilegi root, caratteristica che consente di raggiungere file e configurazioni normalmente inaccessibili agli utenti ordinari. La compromissione non nasce da una vulnerabilità pubblicata nel motore di scansione cPGuard, ma dall’accesso non autorizzato ai sistemi del produttore e dall’utilizzo della sua infrastruttura di aggiornamento. Per i clienti, l’aggiornamento appare quindi provenire da un canale legittimo.

Circa 2.950 server coinvolti: sottratti hash Linux, chiavi SSH e configurazioni MySQL

OpsShield indica circa 2.950 server che hanno eseguito l’aggiornamento malevolo, mentre l’accesso al sistema commerciale espone informazioni relative a circa 7.900 account del portale clienti, comprese generalità, recapiti e password conservate come hash bcrypt. Il malware installato sui server raccoglie invece dati particolarmente sensibili: /etc/shadow, /etc/passwd, configurazioni MariaDB e MySQL, cronologia dei comandi root e informazioni SSH. I file raccolti vengono caricati sul server di licenza del produttore attraverso un account compromesso. Nel primo advisory tecnico, OpsShield conferma che l’attaccante ha recuperato 32 file riconducibili ad altrettanti server clienti. Il numero rappresenta il materiale recuperato dall’aggressore e verificato in quella fase dell’indagine, non il totale dei server potenzialmente compromessi.

Gli hash contenuti in /etc/shadow non sono password in chiaro, ma possono essere sottoposti a tentativi di recupero offline. Le configurazioni dei database e la cronologia della shell possono invece contenere credenziali e segreti direttamente utilizzabili. Il rischio persiste anche dopo la rimozione della backdoor, perché un segreto copiato rimane valido finché non viene sostituito. OpsShield ha distribuito cPGuard 5.88.25 per eliminare i componenti malevoli conosciuti e successivamente 5.88.26, che interviene anche sulle chiavi di accesso utilizzate dal supporto tecnico.

WorkOS violata con ARTEX AI: accesso ai dati commerciali, non ai servizi di produzione

Il secondo incidente riguarda WorkOS, società che fornisce infrastrutture di autenticazione e gestione delle identità agli sviluppatori. Nel bollettino ufficiale del 2 novembre, l’azienda conferma di avere individuato il 30 ottobre un accesso non autorizzato a un’applicazione interna utilizzata dai team commerciali. Gli aggressori raggiungono nomi, indirizzi email, numeri telefonici, informazioni sulle relazioni commerciali e riepiloghi di comunicazioni con i clienti, comprese conversazioni di supporto e interazioni su Slack. Sono coinvolti anche metadati operativi relativi all’utilizzo dei prodotti e allo stato delle connessioni.

L’azienda conferma l’impiego di un framework offensivo assistito dall’intelligenza artificiale per automatizzare ricognizione e tentativi di sfruttamento. Il fondatore Michael Grinich identifica pubblicamente lo strumento come ARTEX AI, già emerso in precedenti campagne offensive. L’utilizzo di ARTEX, tuttavia, non consente di attribuire automaticamente l’incidente a un gruppo statale cinese, né dimostra quali modelli linguistici siano stati impiegati nella specifica intrusione. WorkOS dichiara di non avere evidenze di accesso ai dati applicativi dei clienti o ai servizi di produzione. Ha disabilitato l’accesso esterno all’applicazione coinvolta e incaricato una società indipendente di analisi forense. Il rischio immediato riguarda soprattutto il possibile impiego delle informazioni commerciali per costruire messaggi di phishing credibili.

Continua con:

ARTEX e Claude contro le banche: l’AI entra nel workflow dell’hacker

APT cinesi compromettono gli aggiornamenti Notepad++: supply chain hijack e malware mirato

Aggiornamenti compromessi e agenti AI: due rischi differenti per la fiducia digitale

Gli amministratori dei server cPGuard devono verificare l’eventuale installazione delle versioni compromesse attraverso il comando grep 'Successfully updated' /opt/cpguard/logs/install_log, quindi eseguire cpgcli update --start e controllare con cpgcli --version di avere raggiunto almeno la 5.88.25. OpsShield richiede inoltre la rotazione delle password Linux, delle credenziali dei database, dei token cloud e delle chiavi SSH potenzialmente esposte. Il produttore non raccomanda automaticamente la reinstallazione dell’intero sistema operativo, ma prevede valutazioni individuali quando l’integrità del server non può essere verificata.

Per WorkOS la priorità è differente: verificare comunicazioni inattese che richiamano precedenti conversazioni commerciali e accertare attraverso canali indipendenti le richieste riguardanti account, configurazioni o accessi. La società deve ancora completare la determinazione dei clienti effettivamente coinvolti. cPGuard documenta il pericolo di una catena di aggiornamento compromessa; WorkOS mostra come l’automazione offensiva possa raggiungere informazioni aziendali preziose senza violare necessariamente l’infrastruttura produttiva. La sicurezza non dipende soltanto dalla robustezza del singolo software, ma anche da chi può aggiornarlo, distribuirlo e accedere ai sistemi che ne amministrano il funzionamento.