Шкідливий CWPdoor маскується під серверний компонент Control Web Panel

Дослідники XLab виявили шкідливе програмне забезпечення для Linux під назвою CWPdoor, яке поширюється через троянізовану версію cwpsrv — вебсервера інтерфейсу керування Control Web Panel. Бекдор може залишатися неактивним на скомпрометованому сервері, доки зловмисник не надішле спеціально сформований запит, повідомляє BleepingComputer.

Як працює бекдор

Control Web Panel, раніше відомий як CentOS Web Panel, — відкрите рішення для адміністрування вебхостингу, схоже на cPanel і Plesk. Воно дає змогу керувати вебсерверами та сервісами електронної пошти, DNS і баз даних. За даними XLab, протягом останнього місяця у відкритому інтернеті було доступно понад 340 тисяч інсталяцій CWP.

Фахівці виявили CWPdoor 29 червня, коли перехопили скрипт, що видавав себе за оновлювач. Він замінював справжній виконуваний файл cwpsrv на шкідливий варіант. Скрипт атакував версії cwpsrv 1.15.10 та 1.24.0, після чого відновлював часові позначки файлів і каталогів, видаляв тимчасові файли та очищав історію команд, щоб приховати сліди заміни.

Шифровані команди та приховування слідів

Оператори активують бекдор командами, переданими у зашифрованому HTTP-заголовку X-Ngx-Integrity-Data. Запит також містить заголовок часу X-Ngx-Integrity-Time та RSA-підпис X-Ngx-Integrity-Sig. Команди та результати їх виконання шифруються за допомогою AES-256-CBC.

Перед виконанням CWPdoor перевіряє, чи вкладається час у п'ятихвилинне вікно, та верифікує RSA-підпис. Після цього програма розшифровує команду і передає її допоміжному процесу. Як пояснили в XLab, прив'язка часу, шифротексту й підпису та обмеження у 300 секунд забезпечують захист від повторного використання запитів і контроль авторизації.

Шкідлива програма також втручається в модуль журналювання сервера, щоб запит для її запуску не потрапив до журналів доступу. Дослідники зауважили, що 30 вересня CWPdoor завантажили на VirusTotal в архіві, який також містив бекдор Ebury. Шкідливий файл cwpsrv у цьому архіві не мав жодного спрацювання антивірусних систем. Зв'язок між Ebury та CWPdoor наразі лишається незрозумілим.

Адміністраторам радять перевірити наявність Unix-сокета ngx http integrity helper, підозрілих допоміжних процесів cwpsrv і рядків X-Ngx-Integrity у бінарному файлі сервера. У разі підтвердження компрометації XLab рекомендує замінити змінений файл легітимною копією, оновити програмне забезпечення, змінити всі облікові дані панелі керування та перевірити хост на інші шкідливі програми.