Nieuwe Linux-malware CWPdoor infiltreert servers via een gemanipuleerde versie van de Control Web Panel-webserver en biedt een stealth backdoor.
Onderzoekers van XLab, de cybersecurity tak van QiAnXin Technology Group, hebben een nieuwe Linux-malware ontdekt die Linux-servers infecteert via een trojanized versie van cwpsrv, de webserver achter het Control Web Panel (CWP). Deze malware, genaamd CWPdoor, functioneert als een passieve backdoor die onopgemerkt blijft totdat een aanvaller een speciaal geconstrueerd verzoek stuurt om de malware te activeren.
CWP, voorheen bekend als CentOS Web Panel, is een open-source beheeroplossing voor webhosting die vergelijkbaar is met cPanel en Plesk. Het stelt gebruikers in staat om webservers en gerelateerde diensten zoals e-mail, DNS en databases te beheren. Volgens XLab zijn er in de afgelopen maand meer dan 340.000 CWP-instanties publiekelijk toegankelijk geweest. De onderzoekers ontdekten CWPdoor op 29 juni nadat ze een script onderschepten dat zich voordeed als updater en de legitieme 'cwpsrv'-binary verving door een kwaadaardige versie. Dit script richt zich op cwpsrv-versies 1.15.10 en 1.24.0 en onderneemt verschillende acties om de vervanging te verbergen, zoals het herstellen van bestands- en map-timestamps, het verwijderen van tijdelijke bestanden en het wissen van commandogeschiedenislogs.
De backdoor wordt geactiveerd via een speciaal HTTP-headerveld (X-Ngx-Integrity-Data) dat versleutelde opdrachten bevat. Daarnaast worden een timestamp (X-Ngx-Integrity-Time) en een RSA-handtekening (X-Ngx-Integrity-Sig) meegezonden. De opdrachten en hun uitvoer zijn versleuteld met AES-256-CBC om ze te beschermen. De backdoor controleert of de timestamp binnen een tijdsvenster van vijf minuten valt en verifieert de RSA-handtekening voordat de opdracht wordt ontsleuteld en uitgevoerd door een helperproces. Door deze combinatie van velden wordt replay-aanvalbescherming en autorisatiecontrole geboden. Tevens zorgt de backdoor ervoor dat het triggerverzoek niet in de serverlogs verschijnt, waardoor detectie wordt bemoeilijkt.
Na het vinden van het initiële infectiescript zagen de onderzoekers CWPdoor op 30 september geüpload worden naar VirusTotal in een archief dat ook de Ebury-backdoor bevatte. Opvallend was dat het kwaadaardige cwpsrv-bestand in dit archief niet door antivirusprogramma’s werd gedetecteerd, wat erop wijst dat er al echte slachtoffers zijn. De relatie tussen Ebury, een Linux-backdoor en credential stealer die sinds 2009 actief is, en CWPdoor is nog onduidelijk. ESET meldde in mei 2024 dat Ebury bijna 400.000 servers had geïnfecteerd sinds het ontstaan.
XLab adviseert beheerders om te controleren op de aanwezigheid van de ngx_http_integrity_helper Unix socket, verdachte cwpsrv-helperprocessen en X-Ngx-Integrity strings in de serverbinary. Bij een bevestigde infectie moet de backdoored binary worden vervangen door een legitieme versie, dient de CWP-installatie te worden geüpdatet naar de nieuwste versie, moeten alle control panel-credentials worden geroteerd en moet het systeem worden onderzocht op aanvullende malware.
