Un nuevo malware para Linux llamado CWPdoor se distribuye mediante una versión troyanizada de cwpsrv, el servidor web que utiliza la interfaz de administración Control Web Panel (CWP). Funciona como una puerta trasera pasiva que permanece inactiva hasta que un atacante envía una solicitud especialmente diseñada.
Los investigadores de XLab, el área de investigación en ciberseguridad de QiAnXin Technology Group, afirman que su activación pasiva y la supresión de registros hacen que el malware sea excepcionalmente sigiloso. Según XLab, más de 340.000 instancias de CWP estuvieron expuestas en la web pública durante el último mes.
Los investigadores descubrieron CWPdoor el 29 de junio, tras capturar un script de actualización que sustituía el binario legítimo de cwpsrv. El script apunta a las versiones 1.15.10 y 1.24.0 e intenta ocultar el cambio restaurando las marcas de tiempo, borrando archivos temporales y eliminando el historial de comandos.
Para activar la puerta trasera, el atacante envía comandos en encabezados HTTP cifrados llamados X-Ngx-Integrity-Data, X-Ngx-Integrity-Time y X-Ngx-Integrity-Sig. CWPdoor comprueba que la marca de tiempo esté dentro de un intervalo de cinco minutos y verifica la firma RSA antes de descifrar el comando. Los comandos y sus resultados utilizan cifrado AES-256-CBC. El malware también interfiere con el registro del servidor para que la solicitud que lo activa no aparezca en los registros de acceso.
El 30 de septiembre, los investigadores encontraron CWPdoor en un archivo subido a VirusTotal junto con la puerta trasera Ebury. El archivo malicioso cwpsrv.suspeito incluido en el archivo obtuvo cero detecciones. XLab dijo que esto indicaba la existencia de víctimas reales, aunque la relación entre Ebury y CWPdoor seguía sin estar clara. ESET informó en mayo de 2024 que Ebury había infectado a casi 400.000 servidores desde su aparición.
Comentarios
0Aún no hay comentarios. Escribe el primero.