Eine neu dokumentierte Linux-Backdoor kann Angreifern über Control Web Panel (CWP) die entfernte Ausführung von Befehlen ermöglichen, ohne die üblichen Spuren in Zugriffsprotokollen zu hinterlassen. Die als CWPdoor bezeichnete Malware ist direkt in eine modifizierte Version von cwpsrv, dem Webserver, auf dem die Verwaltungsoberfläche von CWP läuft.
Forscher von QiAnXin XLab machten die Bedrohung am 5. Nov. öffentlich, nachdem sie ein im Juni abgefangenes Installationsprogramm und Schadbinärdateien analysiert hatten, die auf zwei cwpsrv Versionen abzielten. Das Installationsprogramm erfordert Root-Rechte, was darauf hindeutet, dass Angreifer bereits weitreichende Kontrolle über einen Server haben, bevor sie die Backdoor einsetzen.
XLab identifizierte über seine Hunter-Plattform mehr als 340.000 aus dem Internet erreichbare CWP-Instanzen. Diese Zahl beschreibt potenzielle Ziele, nicht bestätigte Infektionen. Ein im September aus Brasilien bei VirusTotal hochgeladenes Archiv enthielt ein CWPdoor-Exemplar und liefert damit einen Beleg dafür, dass die Malware außerhalb einer Testumgebung aufgetreten ist.
Für Administratoren hat die Überprüfung des laufenden Servers und seiner Binärdateien daher zunächst Priorität, statt sich ausschließlich auf Virenschutz-Ergebnisse, Zeitstempel von Dateien oder unauffällige Zugriffsprotokolle zu verlassen.
So kompromittiert CWPdoor Control-Web-Panel-Server
CWPdoor ist kein separates Malwareprogramm, das parallel zu CWP ausgeführt wird. Angreifer verändern den Quellcode von cwpsrv, kompilieren eine schädliche Version und ersetzen die legitime Server-Binärdatei.
Das Installationsprogramm cwpsrv_update.sh tarnt sich als routinemäßiges Update. Es prüft die installierte Version, lädt eine passende schädliche Binärdatei von 136.0.141.71 herunter und ersetzt /usr/local/cwpsrv/bin/cwpsrv.
Das abgefangene Installationsprogramm unterstützt die Versionen 1.15.10 und 1.24.0. XLab konnte nicht feststellen, ob weitere Versionen angegriffen wurden, und hat weder die Schwachstelle noch die von den Angreifern verwendete Methode für den erstmaligen Zugriff identifiziert.
Da das Installationsprogramm Root-Rechte erfordert, ist CWPdoor ein Werkzeug nach einer Kompromittierung und keine bestätigte Methode für eine Erstinfektion. Ähnliche Backdoors nach einer Kompromittierung können Angreifern dauerhaften Zugriff verschaffen, nachdem sie bereits in ein System eingedrungen sind.
Nach der Installation verarbeitet der modifizierte Server weiterhin gewöhnliche Anfragen. Die Backdoor wird nur aktiviert, wenn ein Angreifer eine Anfrage mit drei speziell erstellten Headern sendet:
X-Ngx-Integrity-TimeX-Ngx-Integrity-DataX-Ngx-Integrity-Sig
Der Server validiert den Zeitstempel der Anfrage innerhalb eines Zeitfensters von plus oder minus 300 Sekunden und prüft eine RSA-Signatur. Anschließend entschlüsselt er den Befehl, übergibt ihn über einen Unix-Domain-Socket an einen Hilfsprozess und sendet die verschlüsselte Ausgabe an den Angreifer zurück.
CWPdoor unterdrückt außerdem die Protokollierung der auslösenden Anfrage. Das Installationsprogramm stellt die ursprünglichen Zeitstempel von Dateien und Verzeichnissen wieder her und versucht, seinen Befehl aus dem Shell-Verlauf zu löschen. Dadurch kann eine kompromittierte Installation bei routinemäßigen Prüfungen unverändert erscheinen.
Solche Techniken zur Verschleierung und zur Aufrechterhaltung des Zugriffs wurden auch bei Linux-Malware beobachtet, die auf Cloud-Umgebungen abzielt und in denen Angreifer versuchen, den Zugriff aufrechtzuerhalten, ohne herkömmliche Sicherheitswarnungen auszulösen.
XLab berichtete, dass sein analysiertes CWPdoor-Exemplar bei VirusTotal zunächst von keinem der 63 Virenschutz-Engines erkannt wurde. Dieses Ergebnis gilt für das Exemplar und den Scan zum Zeitpunkt der Prüfung, nicht zwangsläufig für aktuelle Sicherheitsprodukte.
So erkennen Sie CWPdoor auf einem Linux-Server
XLab empfiehlt, nach dem Unix-Domain-Socket zu suchen, den der Befehlsausführungs-Hilfsprozess der Backdoor verwendet.
Führen Sie Folgendes aus:
ss -axp | grep integrity
Ein Ergebnis mit ngx_http_integrity_helper ist ein starkes Anzeichen dafür, dass die Backdoor aktiv sein könnte.
Administratoren können die installierte Binärdatei außerdem auf die benutzerdefinierten Anfrage-Header von CWPdoor untersuchen:
strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity
Prüfen Sie die laufenden CWP-Prozesse auf unerwartete Hilfsprozesse:
ps aux | grep cwpsrv
Diese Prüfungen sind gemeinsam am aussagekräftigsten. Das Ausbleiben von Treffern beweist nicht eindeutig, dass ein Server sauber ist – insbesondere dann nicht, wenn ein Angreifer Artefakte verändert oder entfernt hat.
Veröffentlichte Kompromittierungsindikatoren für CWPdoor
XLab hat die folgenden MD5-Hashes veröffentlicht:
- Installationsskript:
e505d4ffa21cf494a5dc2d7c8f4f1236 - Backdoor-infiziertes cwpsrv 1.15.10:
965aea67fb40de1bab5169ada993349f - Backdoor-infiziertes cwpsrv 1.24.0:
d3f4e95113d49ab3991b45e457bda75b
Der identifizierte Downloadserver ist 136.0.141.71, mit Pfaden einschließlich /static/cwpsrv_update.sh und Binärdateien, die den beiden angegriffenen Versionen entsprechen.
Administratoren sollten verfügbare Netzwerk-Telemetriedaten, Dateibestände und Sicherheitsaufzeichnungen nach diesen Indikatoren durchsuchen. Da das Installationsprogramm Root-Rechte erfordert, sollte sich die Untersuchung über den CWP-Prozess hinaus auf weitere Hinweise auf einen unbefugten Zugriff erstrecken.
XLab fand außerdem eine mit Ebury in Verbindung stehende Datei, libkeyutils.so.1.5.2, neben CWPdoor in dem aus Brasilien hochgeladenen Archiv. Die Forscher konnten nicht feststellen, ob die beiden Malwarefamilien von denselben Angreifern eingesetzt wurden.
So entfernen Sie CWPdoor und stellen einen kompromittierten Server wieder her
XLab empfiehlt, eine legitime cwpsrv Binärdatei wiederherzustellen, CWP zu aktualisieren, zu prüfen, ob der verdächtige Socket verschwunden ist, die Zugangsdaten für das Control Panel zu ändern und den Host auf weitere Bedrohungen zu untersuchen.
Die ursprüngliche Binärdatei ist möglicherweise lokal nicht verfügbar. Zwar erstellt das Installationsprogramm ein Backup mit dem Namen cwpsrv.prev- gefolgt von einem Zeitstempel, doch nach einer erfolgreichen Installation löscht es dieses Backup. Jedes auf einem kompromittierten Host verbliebene Backup sollte mit Vorsicht behandelt werden.
Da das Installationsprogramm von CWPdoor Root-Rechte erfordert, kann der alleinige Austausch der Binärdatei nicht belegen, dass der restliche Server vertrauenswürdig ist.
Dasselbe Problem bei der Wiederherstellung besteht, wenn andere Server-Backdoors Softwareupdates überdauern. Bei einem kürzlich aufgetretenen Adobe-Commerce-Vorfall wurde Administratoren geraten, die Persistenz zu untersuchen und offengelegte Zugangsdaten zu ändern, statt anzunehmen, ein Patch habe jede Bedrohung entfernt.
Bei einer bestätigten CWPdoor-Kompromittierung sollten Administratoren:
- Den betroffenen Host isolieren , um weiteren unbefugten Zugriff zu verhindern und zugleich die für die Untersuchung benötigten Beweise zu bewahren.
- Den Eindringvorgang untersuchen, einschließlich privilegierter Anmeldungen, verdächtiger Prozesse, unerwarteter Dateien und ausgehender Verbindungen.
- Das System aus einer vertrauenswürdigen Installation neu aufbauen, wenn sich die Integrität des Betriebssystems nicht feststellen lässt. Vermeiden Sie es, potenziell kompromittierte System-Binärdateien in die Ersatzumgebung zu übernehmen.
- Offengelegte Zugangsdaten ändern, darunter CWP-Administratorpasswörter, SSH-Zugangsdaten, Datenbankpasswörter, Hosting-Konten und Anwendungsgeheimnisse.
- Die Wiederherstellung überprüfen, indem Sie die installierten Binärdateien, laufenden Prozesse und Netzwerkverbindungen prüfen und das Fehlen der bekannten CWPdoor-Indikatoren bestätigen.
XLab rät, CWP auf die neueste Version zu aktualisieren, hat jedoch keinen konkreten CWP-Sicherheitspatch identifiziert, der die unbekannte Methode für den erstmaligen Zugriff behebt. Ein Upgrade sollte daher nicht als Beleg dafür gewertet werden, dass ein Angreifer keinen Zugriff mehr erlangen kann.
Die Beschränkung des administrativen Zugriffs auf vertrauenswürdige Netzwerke und die Überwachung unerwarteter ausgehender Verbindungen können die Angriffsfläche ebenfalls verringern.
Was Administratoren weiterhin nicht wissen
XLab hat weder die Methode für den erstmaligen Zugriff identifiziert noch die Angreifer benannt oder festgestellt, wie viele Server infiziert sind. Die Forscher können außerdem nicht bestätigen, ob CWPdoor und die mit Ebury in Verbindung stehende Malware aus dem brasilianischen Sample zusammenhängen.
Die verfügbaren Beweise sprechen dafür, eine bestätigte CWPdoor-Infektion als eine schwerwiegende Serverkompromittierung zu behandeln. Administratoren sollten untersuchen, wie der Root-Zugriff erlangt wurde, und nicht einfach den modifizierten Webserver entfernen und zum normalen Betrieb zurückkehren.
Saubere Protokolle und unveränderte Zeitstempel bieten in diesem Fall besonders wenig Sicherheit. CWPdoor wurde darauf ausgelegt, beides zu bewahren und Angreifern zugleich einen versteckten Befehlskanal bereitzustellen.
Lesen Sie auch: Ein aktueller cPGuard-Supply-Chain-Angriff kompromittierte fast 3.000 Linux-Server durch manipulierte Sicherheitsupdates und zwang Administratoren, privilegierte Zugriffe und möglicherweise gestohlene Zugangsdaten zu untersuchen.