CWPdoor: новый бэкдор для серверов Linux атакует Control Web Panel

Специалисты по кибербезопасности из XLab (QiAnXin) выявили новую вредоносную программу CWPdoor, предназначенную для скрытного контроля над серверами под управлением Control Web Panel (CWP). Злоумышленники распространяют троянизированную версию веб-сервера cwpsrv, превращая его в инструмент для удаленного управления хостингом.

• CWPdoor является пассивным бэкдором, который активируется только при получении специально сформированного HTTP-запроса.
• Вредонос подменяет оригинальный файл cwpsrv (версии 1.15.10 и 1.24.0), маскируя свои следы путем восстановления временных меток и удаления логов.
• Команды передаются через зашифрованные HTTP-заголовки с использованием RSA-подписи, что предотвращает несанкционированный доступ к бэкдору.
• Вредоносное ПО связано с активностью ботнета Ebury, что указывает на масштабный и долгосрочный характер кампании.

Механизм работы бэкдора CWPdoor

Главная особенность CWPdoor заключается в его скрытности. Вредоносный бинарный файл cwpsrv остается неактивным до тех пор, пока злоумышленник не отправит зашифрованный запрос, содержащий заголовок X-Ngx-Integrity-Data. Система проверяет RSA-подпись и временную метку (в пределах 5 минут), чтобы предотвратить повторное использование перехваченных команд (replay-атаки).

Для дополнительной конспирации CWPdoor подавляет запись операций в системные логи веб-сервера. Таким образом, даже при детальном изучении логов доступа администратор не увидит подозрительных запросов, что делает обнаружение вторжения крайне сложной задачей без глубокого анализа бинарных файлов и системных процессов.

Связь с ботнетом Ebury и риски

Исследователи заметили, что CWPdoor часто распространяется вместе с печально известным бэкдором Ebury, который активен с 2009 года и скомпрометировал почти 400 000 серверов. Хотя прямая связь между авторами двух угроз пока не подтверждена, отсутствие детектов на VirusTotal свидетельствует о целенаправленных атаках на реальные серверные инфраструктуры.

Учитывая, что более 340 000 экземпляров CWP доступны из публичного интернета, риск масштабной эпидемии остается высоким. Администраторам рекомендуется немедленно проверить систему на наличие сокета ngx_http_integrity_helper и подозрительных процессов cwpsrv.

Что это значит для бизнеса и администраторов

Для компаний в СНГ, использующих CWP для управления хостингом, это серьезный сигнал к усилению мер безопасности. Если на сервере подтверждено наличие CWPdoor, необходимо не только восстановить оригинальный файл cwpsrv, но и провести полную ротацию всех паролей и ключей доступа, так как скомпрометированная панель управления предоставляет полный доступ ко всей инфраструктуре, включая базы данных и почтовые сервисы.