cwpdoor: דלת אחורית נסתרת בשרת Control Web Panel מריצה פקודות בלי עקבות בלוג

חוקרי XLab של QiAnXin חשפו דלת אחורית בשם cwpdoor בקובץ cwpsrv, שרת הווב של Control Web Panel. היא מריצה פקודות של התוקף בלי להופיע בלוגי הגישה, ולכן קשה לזהות אותה.

הפרטים

הקובץ המושתל מתנהג רגיל עד שמגיעה בקשה עם חותמת זמן וחתימה תקפות בכותרות מותאמות שמתחילות ב-X-Ngx-Integrity; אז הוא מריץ את הפקודה. סקריפט ההתקנה, שמתחזה לעדכון גרסה, משחזר את חותמות הזמן המקוריות של הקובץ, ולכן ls ו-stat לא מראים שינוי. בבדיקת החוקרים לא היו לקובץ זיהויים ב-VirusTotal.

הסקריפט מכוון לגרסאות 1.15.10 ו-1.24.0 של cwpsrv; לא ברור אם יש גרסאות נוספות. ההתקנה דורשת הרשאות root, ועדיין לא ידוע איך התוקפים משיגים אותן. הסקריפט נתפס ב-29 ביוני, וארכיון עם הדלת האחורית הועלה ל-VirusTotal מברזיל ב-30 בספטמבר, ולדברי החוקרים זה מעיד על קורבנות אמיתיים. לא פורסם מספר נפגעים ולא הוקצה CVE.

נקודות לשים לב

• בדוק חשיפה: ss -axp | grep integrity. תוצאה עם ngx_http_integrity_helper מעידה על הדבקה. אפשר גם strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity.
• אל תסתמך על חותמות זמן או על לוגי גישה; הם מוסתרים בכוונה. חפש חיבורים ל-136.0.141[.]71 ואת הקבצים cwpsrv_update.sh ו-cwpsrv_1.15.10 / cwpsrv_1.24.0.
• שחזר את הקובץ המקורי מגיבוי בשם cwpsrv.prev- ותאריך בתיקיית /usr/local/cwpsrv/bin (ייתכן שנמחק), או שדרג לגרסה העדכנית ואמת שהבדיקה למעלה ריקה.
• הסק שהשרת נפגע: החלף את כל הסיסמאות של הפאנל ובדוק סימני פריצה נוספים. בארכיון מברזיל נמצאו גם Ebury ודלת אחורית ב-OpenSSH, ללא ודאות שיש קשר.

מקורות: XLab (QiAnXin) · The Hacker News