CWPdoor colpisce Control Web Panel: backdoor Linux invisibile nei log, server già compromessi

Una nuova backdoor Linux sta prendendo di mira i server che utilizzano Control Web Panel, pannello gratuito molto diffuso per la gestione di hosting su sistemi Linux. La minaccia, identificata come cwpdoor, si nasconde direttamente nel web server del pannello e consente agli attaccanti di eseguire comandi da remoto tramite richieste web che non finiscono nei log di accesso.

Questo dettaglio rende la compromissione particolarmente insidiosa, perche riduce drasticamente le tracce investigative e aumenta il tempo necessario per individuare lanomalia.

Linstallazione della backdoor richiede privilegi di root, quindi rappresenta in genere una fase successiva di un attacco gia riuscito. In pratica, se cwpdoor e presente, il server e gia stato violato e va considerato compromesso. Il malware viene distribuito tramite uno script shell che si presenta come un aggiornamento del componente cwpsrv. Lo script risulta progettato per intervenire su specifiche versioni del web server, tra cui cwpsrv 1.15.10 e 1.24.0, sostituendo il binario originale con una versione ricompilata e modificata.

Il comportamento del web server infetto appare normale fino a quando non riceve una richiesta costruita ad hoc. La backdoor controlla la presenza di header personalizzati con nomi che iniziano con X Ngx Integrity e valida parametri come timestamp e firma. Se la richiesta e corretta, il server esegue il comando incorporato, consentendo cosi esecuzione remota di comandi senza generare voci nei log tradizionali. Per aumentare la stealthiness, il processo di sostituzione ripristina anche le date originali del file, cosi che controlli con ls o stat possano non mostrare differenze evidenti.

Controlli rapidi per verificare linfezione

• Socket Unix sospetto: verificare la presenza di un socket Unix legato al modulo di supporto della backdoor con ss axp e una ricerca di integrity.
• Processi anomali: analizzare ps aux filtrando per cwpsrv per individuare eventuali helper process inattesi.
• Indicatori nel binario: eseguire strings sul binario per cercare riferimenti agli header X Ngx Integrity, fortemente indicativi di compromissione.

Cosa fare in caso di compromissione

• Ripristino: ripristinare il cwpsrv originale se disponibile.
• Aggiornamento: aggiornare Control Web Panel allultima versione.
• Credenziali: ruotare tutte le credenziali del pannello e dei servizi collegati.
• Bonifica completa: trattare lhost come completamente compromesso e avviare una bonifica completa.