Хакеры прячут Linux Backdoor в Веб-панели управления сервером, чтобы запускать команды без логирования

Backdoor был найден прятаным на веб-сервере который держал CWP (Control Web Panel) - бесплатная панель для управления Linux хостами сервера

- сказали исследователи из QiAnXin's XLab.

Веб серверы которые имели backdoor запускали команды которые атакующие отправляли через веб-запросы, и эти запросы никогда не попадали в его логи доступа. Установка требует доступа root, так что атакующие должны уже контролировать сервер.

Исследователи, которые назвали backdoor - cwpdoor, схватили его установщик, shell-скрипт позиционировал себя как обновлённая версия от 29 Июня. Установщик занимался только 2 версиями этого веб сервера, cwpsrv 1.15.10 и 1.24.0. Исследователи ещё не знали что атакующим ещё нужно получить root-доступ.

XLab провели 3 проверки:
Socket: run ss -axp | grep integrity - Результат именовался ngx_http_integrity_helper, Unix сокет использует backdoor, с подписью инфекции.
Proccess: run ps aux | grep cwpsrv - и посмотрели неизвестные процессы помощники запущенные от cwpsrv.
File: run strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity - и смотрят на имена backdoor'ов

Исследователи опбуликовали эти идентификаторы:

MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (installer script, cwpsrv_update.sh)
MD5: 965aea67fb40de1bab5169ada993349f (backdoored cwpsrv 1.15.10)
MD5: d3f4e95113d49ab3991b45e457bda75b (backdoored cwpsrv 1.24.0)
IP: 136.0.141[.]71 (download server)
URL: https://136.0.141[.]71/static/cwpsrv_update.sh
URL: https://136.0.141[.]71/static/cwpsrv_1.15.10
URL: https://136.0.141[.]71/static/cwpsrv_1.24.0

📌Очистка инфицированного сервера:
1️⃣Восстановление оригинального cwpsrv из бэкапа установщика созданого в /usr/local/cwpsrv/bin, с имени начинающимся с cwpsrv.prev - и заканчивает на дату и время.
2️⃣Обновление до последней версии, затем подвердите, что команда ss -axp | grep integrity возвращает ничего.
3️⃣Измените все пароли и логины от панели, потому что bakcdoor может запускасть любые команды.

Источник: https://thehackernews.com/2026/11/hackers-hide-linux-backdoor-in-control.html

#news #cwp #rce #linux #backdoor

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером