Межсетевой экран OPNsense версии 26.7.1_1 столкнулся с критической нагрузкой на процессор из-за процессов php-cgi. Анализ показал, что причиной стал бэкдор, внедренный в системный файл system.inc через планировщик cron.
Команда обнаружила, что вредоносная запись в cron появилась из-за модификации файла /usr/local/etc/inc/system.inc. На резервном узле кластера, имеющем идентичную конфигурацию, данная запись отсутствовала, что подтвердило факт несанкционированного вмешательства.
Факт подмены файла был выявлен с помощью команды pkg check --checksums --all, которая зафиксировала несовпадение контрольных сумм. Бэкдор был удален вручную путем редактирования файла и перезапуска службы cron.
Установить источник заражения не удалось из-за использования общего пароля root и отсутствия внешнего логирования. Злоумышленник мог удалить локальные логи, что сделало невозможным отслеживание действий внутри системы.
По итогам инцидента компания планирует внедрить персонализированный доступ, запретить вход под root и настроить репликацию логов на удаленный сервер. Также рассматривается внедрение систем контроля целостности файлов для автоматического оповещения об изменениях.
