Backdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logach

Badacze XLab z QiAnXin wykryli cwpdoor, czyli przebudowany serwer cwpsrv w Control Web Panel (CWP), darmowym panelu do zarządzania serwerami hostingowymi z Linuksem. Backdoor wykonuje polecenia wysyłane w zapytaniach WWW, a te zapytania nie pojawiają się w logach dostępu. Do instalacji potrzebne są uprawnienia root, więc atakujący muszą już kontrolować serwer. Polecenie uruchamia się dopiero wtedy, gdy zapytanie ma poprawny znacznik czasu i podpis w nagłówkach zaczynających się od X-Ngx-Integrity. Instalator przywraca plikowi pierwotne daty, więc ls i stat pokazują go jako niezmieniony, a w VirusTotal plik miał 0 wykryć na 63.

Kogo dotyczy

Instalator przechwycony 29 czerwca obsługuje tylko cwpsrv 1.15.10 i 1.24.0. Badacze nie wiedzą, jak atakujący zdobywają uprawnienia root. Archiwum z kopią backdoora wgrane 30 września z Brazylii wskazuje według nich, że ofiary już istnieją, choć liczby zainfekowanych serwerów nie podano. W tym samym archiwum było też Ebury, backdoor OpenSSH kradnący dane logowania.