Hackerii introduc backdoor-uri pe serverele Linux folosind un server web CW

Un nou malware pentru Linux, denumit CWPdoor, este distribuit printr-o versiune troianizată a programului cwpsrv, serverul web care stă la baza interfeței de administrare Control Web Panel (CWP).

CWPdoor acționează ca un backdoor pasiv, care rămâne inactiv pe sistemul compromis până când atacatorul trimite o solicitare malițioasă.

Specialiștii descriu CWPdoor ca fiind extrem de discret datorită declanșării sale pasive și funcției de suprimare a jurnalelor.

CWP, cunoscut anterior sub numele de CentOS Web Panel, este o soluție open-source web hosting de administrare, similară cu cPanel și Plesk, care permite utilizatorilor să gestioneze servere web și servicii precum e-mail, DNS și baze de date.

Specialiștii au descoperit malware-ul CWPdoor pe 29 iunie, după ce au identificat un script care se prezenta drept un program de actualizare și care înlocuia fișierul binar legitim cwpsrv cu o versiune rău intenționată.

Scriptul înlocuiește versiunile 1.15.10 și 1.24.0 ale fișierului cwpsrv și întreprinde mai multe acțiuni pentru a ascunde această înlocuire, cum ar fi restabilirea timestamp-urilor fișierelor și directoarelor, ștergerea fișierelor temporare și ștergerea log-urilor privind istoricul comenzilor.

Operatorii malware-ului activează backdoor-ul trimițându-i comenzi care trebuie executate, sub forma unui antet HTTP criptat (X-Ngx-Integrity-Data). Cererea conține, de asemenea, antete pentru timestamp (X-Ngx-Integrity-Time) și semnătura RSA (X-Ngx-Integrity-Sig).

Comenzile și rezultatele acestora sunt criptate folosind algoritmul AES-256-CBC pentru a le menține protejate.

Backdoor-ul verifică dacă timestamp-ul se încadrează într-un interval de cinci minute și verifică semnătura RSA înainte de a decripta comanda și de a o transmite unui proces auxiliar pentru execuție.

De asemenea, backdoor-ul interferează cu modulul de înregistrare al serverului pentru a împiedica apariția solicitării în jurnalele de acces.

După ce au descoperit scriptul de infectare inițial, specialiștii au observat că CWPdoor a fost încărcat pe o platformă, într-o arhivă care conținea backdoor-ul Ebury.

Ebury este o operațiune de tip botnet bazată pe backdoor pentru Linux și un program de sustragere de credențiale.

Specialiștii recomandă administratorilor să verifice prezența socket-ului Unix ngx_http_integrity_helper, a proceselor auxiliare suspecte cwpsrv și a șirurilor de caractere X-Ngx-Integrity în fișierul binar al serverului.

Dacă se confirmă o compromitere, înlocuiți fișierul binar compromis cu o copie legitimă, actualizați la cea mai recentă versiune, schimbați toate datele de autentificare ale panoului de control și verificați host-ul pentru a depista eventualele alte programe malware.

Sursă: https://www.bleepingcomputer.com/news/security/hackers-backdoor-linux-servers-using-trojanized-cwp-web-server/