En ny Linux-skadlig kod som kallas CWPdoor sprids via en trojaniserad version av cwpsrv, webbservern som används av administrationsgränssnittet Control Web Panel (CWP). Den fungerar som en passiv bakdörr och ligger vilande tills en angripare skickar en särskilt utformad begäran.
Forskare vid XLab, cybersäkerhetsforskningsdelen av QiAnXin Technology Group, säger att den passiva aktiveringen och loggundertryckningen gör skadeprogrammet exceptionellt svårupptäckt. Enligt XLab var mer än 340 000 CWP-instanser exponerade på det offentliga webben under den senaste månaden.
Forskarna upptäckte CWPdoor den 29 juni efter att ha fångat ett uppdateringsskript som ersatte den legitima cwpsrv-binären. Skriptet riktar in sig på versionerna 1.15.10 och 1.24.0 och försöker dölja bytet genom att återställa tidsstämplar, radera temporära filer och tömma kommandohistoriken.
För att aktivera bakdörren skickar angriparen kommandon i krypterade HTTP-huvuden med namnen X-Ngx-Integrity-Data, X-Ngx-Integrity-Time och X-Ngx-Integrity-Sig. CWPdoor kontrollerar att tidsstämpeln ligger inom ett femminutersfönster och verifierar RSA-signaturen innan kommandot dekrypteras. Kommandon och deras utdata krypteras med AES-256-CBC. Skadeprogrammet stör också serverns loggning så att den utlösande begäran inte syns i åtkomstloggarna.
Den 30 september hittade forskarna CWPdoor i ett arkiv som laddats upp till VirusTotal tillsammans med bakdörren Ebury. Den skadliga filen cwpsrv.suspeito i arkivet hade noll upptäckter. XLab sade att det tydde på att det fanns verkliga offer, men kopplingen mellan Ebury och CWPdoor var fortfarande oklar. ESET rapporterade i maj 2024 att Ebury hade infekterat nästan 400 000 servrar sedan det dök upp.
Kommentarer
0Inga kommentarer ännu. Skriv den första.