Um novo malware para Linux, chamado CWPdoor, está sendo distribuído por meio de uma versão adulterada do cwpsrv, servidor web usado pela interface de gerenciamento Control Web Panel (CWP).
O CWPdoor funciona como uma backdoor passiva, que permanece inativa no sistema comprometido até que o invasor envie uma solicitação especialmente preparada.
Pesquisadores do XLab, braço de pesquisa em cibersegurança do QiAnXin Technology Group, descrevem o CWPdoor como “excepcionalmente furtivo”, graças à ativação passiva e ao recurso que suprime registros de atividade.
O CWP, anteriormente chamado CentOS Web Panel, é uma solução open source de administração de hospedagem na web, semelhante ao cPanel e ao Plesk. A ferramenta permite gerenciar servidores web e serviços como e-mail, DNS e bancos de dados.
Segundo o XLab, mais de 340.000 instâncias do CWP estavam expostas à internet pública no último mês.
Os pesquisadores encontraram o malware CWPdoor em 29 de junho, após capturar um script que se passava por uma ferramenta de atualização e substituía o arquivo binário legítimo do cwpsrv por uma versão maliciosa.
O script substitui os binários das versões 1.15.10 e 1.24.0 do cwpsrv e adota várias medidas para ocultar a alteração, como restaurar os timestamps de arquivos e diretórios, excluir arquivos temporários e apagar o histórico de comandos.
Os operadores do malware ativam a backdoor enviando comandos para execução em um cabeçalho HTTP criptografado, chamado X-Ngx-Integrity-Data. A solicitação também inclui os cabeçalhos X-Ngx-Integrity-Time, com o timestamp, e X-Ngx-Integrity-Sig, com a assinatura RSA.
Os comandos e as respostas são criptografados com AES-256-CBC.
Antes de descriptografar o comando e encaminhá-lo a um processo auxiliar para execução, a backdoor verifica se o timestamp está dentro de uma janela de cinco minutos e valida a assinatura RSA.
“Alterar o timestamp ou o texto cifrado de forma independente invalida a assinatura”, explica o XLab.
“Ao vincular os três campos e impor uma janela de ±300 segundos, o mecanismo oferece proteção contra repetição e controle de autorização.”
A backdoor também interfere no módulo de logging do servidor para impedir que a solicitação de ativação apareça nos logs de acesso.
Depois de encontrar o script usado na infecção inicial, os pesquisadores observaram que o CWPdoor foi enviado ao VirusTotal em 30 de setembro, dentro de um arquivo compactado que também continha a backdoor Ebury.
O que chamou a atenção foi que o arquivo malicioso do cwpsrv, identificado como “cwpsrv.suspect”, não havia sido detectado por nenhum mecanismo.
“Isso indica que a campanha não era apenas experimental: já existem vítimas reais em atividade”, afirmam os pesquisadores. Eles acrescentam que a relação entre o Ebury e o CWPdoor ainda não está clara.
O Ebury é uma backdoor para Linux e uma operação de botnet voltada ao roubo de credenciais, ativa desde pelo menos 2009. Em um relatório publicado em maio de 2024, a empresa de cibersegurança ESET afirmou que o malware havia infectado quase 400.000 servidores desde que surgiu.
Os pesquisadores recomendam que administradores procurem o socket Unix ngx_http_integrity_helper, processos auxiliares suspeitos do cwpsrv e sequências X-Ngx-Integrity no arquivo binário do servidor.
Se a invasão for confirmada, é necessário substituir o arquivo binário comprometido por uma cópia legítima, atualizar o sistema para a versão mais recente, trocar todas as credenciais do painel de controle e investigar o servidor em busca de outros malwares.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...