CWPdoor adlı yeni bir Linux zararlısı, Control Web Panel (CWP) yönetim arayüzünün kullandığı cwpsrv web sunucusunun Truva atı bulaştırılmış bir sürümü üzerinden dağıtılıyor. Pasif bir arka kapı olarak çalışan zararlı, saldırgan özel olarak hazırlanmış bir istek gönderene kadar etkinleşmeden bekliyor.
QiAnXin Technology Group'un siber güvenlik araştırma kolu XLab, zararlının pasif tetiklenme biçimi ve günlük kayıtlarını bastırma özelliği nedeniyle son derece gizli olduğunu söyledi. XLab'a göre geçtiğimiz ay halka açık web'de 340.000'den fazla CWP örneği erişime açıktı.
Araştırmacılar CWPdoor'u 29 Haziran'da, meşru cwpsrv ikilisinin yerine başkasını koyan bir güncelleyici betiğini yakaladıktan sonra buldu. Betik 1.15.10 ve 1.24.0 sürümlerini hedefliyor; zaman damgalarını geri yükleyerek, geçici dosyaları silerek ve komut geçmişini temizleyerek değişikliği gizlemeye çalışıyor.
Saldırgan arka kapıyı etkinleştirmek için komutları X-Ngx-Integrity-Data, X-Ngx-Integrity-Time ve X-Ngx-Integrity-Sig adlı şifrelenmiş HTTP üstbilgileriyle gönderiyor. CWPdoor, komutu çözmeden önce zaman damgasının beş dakikalık aralıkta olduğunu denetliyor ve RSA imzasını doğruluyor. Komutlar ve çıktıları AES-256-CBC şifrelemesi kullanıyor. Zararlı ayrıca sunucu günlüklerine müdahale ederek tetikleyici isteğin erişim günlüklerinde görünmesini engelliyor.
Araştırmacılar 30 Eylül'de VirusTotal'a yüklenen ve Ebury arka kapısını da içeren bir arşivde CWPdoor'u buldu. Arşivdeki cwpsrv.suspeito adlı zararlı dosyanın hiçbir tespiti yoktu. XLab, bunun gerçek kurbanların bulunduğuna işaret ettiğini söyledi; ancak Ebury ile CWPdoor arasındaki bağlantı belirsizliğini korudu. ESET, Mayıs 2024'te Ebury'nin ortaya çıkışından bu yana yaklaşık 400.000 sunucuya bulaştığını bildirmişti.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.