В подменённом веб-сервере Control Web Panel нашли бэкдор для скрытого выполнения команд

Исследователи XLab обнаружили бэкдор cwpdoor в подменённой версии веб-сервера Control Web Panel — бесплатной панели управления хостингом на Linux. Он выполняет команды из HTTP-запросов, которые не попадают в журнал доступа, сообщает The Hacker News.

Для установки бэкдора нужны права root, то есть злоумышленники уже должны контролировать сервер. Как они получают эти права, исследователи пока не знают.

Установщик, обнаруженный 29 июня, маскируется под обновление и заменяет cwpsrv версий 1.15.10 и 1.24.0. Затем он восстанавливает исходные временные метки файла, скрывая замену от проверок через ls и stat. На момент проверки ни один из 63 антивирусных движков на VirusTotal не распознал подменённый файл как вредоносный.

Бэкдор работает как обычный веб-сервер, пока не получит запрос с заголовками, имена которых начинаются с X-Ngx-Integrity. Перед выполнением команды он проверяет метку времени и подпись.

30 сентября на VirusTotal из Бразилии загрузили архив с cwpdoor и Ebury — бэкдором OpenSSH для кражи учётных данных. В XLab считают это признаком реальных заражений, но их число неизвестно; по данным исследователей, в октябре и начале ноября в интернете были доступны более 340 тыс. экземпляров CWP. Связь двух вредоносных программ не установлена: их могли внедрить разные злоумышленники.

Для проверки сервера XLab советует выполнить ss -axp | grep integrity. Если в выводе есть сокет ngx_http_integrity_helper, это признак заражения. В примере исследователей такая проверка выявила бэкдор, хотя список открытых портов выглядел нормально.

При заражении исследователи рекомендуют:

• Заменить подменённый файл cwpsrv легитимной версией.
• Обновить программу до последней версии и убедиться, что команда ss -axp | grep integrity больше ничего не выводит.
• Сменить все учётные данные панели.
• Считать весь сервер скомпрометированным и проверить его на другие угрозы.