Une porte dérobée Linux récemment documentée peut permettre aux attaquants d’exécuter des commandes à distance via Control Web Panel (CWP), sans laisser les traces habituelles dans les journaux d’accès. Baptisé CWPdoor, ce logiciel malveillant est directement intégré à une version modifiée de cwpsrv, le serveur web qui exécute l’interface d’administration de CWP.
Les chercheurs de QiAnXin XLab ont révélé cette menace le 5 novembre après avoir analysé un programme d’installation capturé en juin et des binaires malveillants ciblant deux cwpsrv versions. Le programme d’installation nécessite les privilèges root, ce qui laisse penser que les attaquants disposent déjà d’un contrôle important du serveur avant de déployer la porte dérobée.
XLab a identifié plus de 340 000 instances de CWP exposées sur Internet via sa plateforme Hunter. Ce chiffre désigne des cibles potentielles, et non des infections confirmées. Une archive mise en ligne sur VirusTotal depuis le Brésil en septembre contenait un échantillon de CWPdoor, preuve que le logiciel malveillant est apparu en dehors d’un environnement de test.
Pour les administrateurs, la priorité immédiate consiste à vérifier le serveur en fonctionnement et ses binaires, plutôt que de s’appuyer uniquement sur les résultats antivirus, les horodatages des fichiers ou des journaux d’accès exempts d’anomalies.
Comment CWPdoor compromet les serveurs de Control Web Panel
CWPdoor n’est pas un programme malveillant distinct qui fonctionnerait aux côtés de CWP. Les attaquants modifient le code source de cwpsrv, compilent une version malveillante et remplacent le binaire légitime du serveur.
Le programme d’installation, cwpsrv_update.sh, se fait passer pour une mise à jour standard. Il vérifie la version installée, télécharge un binaire malveillant correspondant depuis 136.0.141.71 et remplace /usr/local/cwpsrv/bin/cwpsrv.
Le programme d’installation capturé prend en charge les versions 1.15.10 et 1.24.0. XLab n’a pas établi si d’autres versions ont été ciblées et n’a pas identifié la vulnérabilité ni la méthode d’intrusion employée par les attaquants pour obtenir l’accès initial.
Comme le programme d’installation nécessite les privilèges root, CWPdoor est un outil post-compromission plutôt qu’une méthode d’infection initiale avérée. Des portes dérobées post-compromission similaires peuvent fournir aux attaquants un accès persistant après qu’ils ont déjà compromis un système.
Une fois installé, le serveur modifié continue de traiter les requêtes ordinaires. La porte dérobée ne s’active que lorsqu’un attaquant envoie une requête contenant trois en-têtes spécialement conçus :
X-Ngx-Integrity-TimeX-Ngx-Integrity-DataX-Ngx-Integrity-Sig
Le serveur vérifie que l’horodatage de la requête se situe dans une fenêtre de plus ou moins 300 secondes et contrôle une signature RSA. Il déchiffre ensuite la commande, l’envoie à un processus auxiliaire via un socket de domaine Unix, puis renvoie une sortie chiffrée à l’attaquant.
CWPdoor désactive également la journalisation de la requête déclenchante. Le programme d’installation restaure les horodatages d’origine des fichiers et des répertoires et tente de supprimer sa commande de l’historique du shell. Ces mesures peuvent donner l’impression qu’une installation compromise n’a pas changé lors des contrôles courants.
De telles techniques de furtivité et de persistance sont également apparues dans des logiciels malveillants Linux ciblant les environnements cloud, où les attaquants cherchent à conserver leur accès sans déclencher les alertes de sécurité classiques.
XLab a indiqué que l’échantillon de CWPdoor analysé n’avait initialement reçu aucune détection de la part des 63 moteurs antivirus de VirusTotal. Ce résultat s’applique à l’échantillon et à l’analyse effectuée au moment du test, et pas nécessairement aux produits de sécurité actuels.
Comment détecter CWPdoor sur un serveur Linux
XLab recommande de rechercher le socket de domaine Unix utilisé par l’auxiliaire d’exécution des commandes de la porte dérobée.
Exécutez :
ss -axp | grep integrity
Un résultat contenant ngx_http_integrity_helper constitue un indicateur fort que la porte dérobée est peut-être active.
Les administrateurs peuvent également inspecter le binaire installé à la recherche des en-têtes de requête personnalisés de CWPdoor :
strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity
Vérifiez les processus CWP en cours d’exécution pour repérer d’éventuels processus auxiliaires inattendus :
ps aux | grep cwpsrv
Ces vérifications sont plus utiles lorsqu’elles sont combinées. L’absence de correspondance ne permet pas d’établir de façon concluante qu’un serveur est sain, notamment si un attaquant a modifié ou supprimé des artefacts.
Indicateurs de compromission de CWPdoor publiés
XLab a publié les hachages MD5 suivants :
- Script d’installation :
e505d4ffa21cf494a5dc2d7c8f4f1236 - cwpsrv 1.15.10 compromis :
965aea67fb40de1bab5169ada993349f - cwpsrv 1.24.0 compromis :
d3f4e95113d49ab3991b45e457bda75b
Le serveur de téléchargement identifié est 136.0.141.71, avec notamment les chemins /static/cwpsrv_update.sh et les binaires correspondant aux deux versions ciblées.
Les administrateurs doivent rechercher ces indicateurs dans les données de télémétrie réseau disponibles, les inventaires de fichiers et les journaux de sécurité. Comme le programme d’installation nécessite les privilèges root, l’enquête doit dépasser le seul processus CWP et s’intéresser aux autres éléments attestant d’un accès non autorisé.
XLab a également trouvé un fichier associé à Ebury, libkeyutils.so.1.5.2, aux côtés de CWPdoor dans l’archive mise en ligne depuis le Brésil. Les chercheurs n’ont pas établi si les deux familles de logiciels malveillants avaient été déployées par les mêmes attaquants.
Comment supprimer CWPdoor et récupérer un serveur compromis
XLab recommande de restaurer un binaire cwpsrv légitime, de mettre CWP à niveau, de vérifier que le socket suspect a disparu, de renouveler les identifiants du panneau de contrôle et de rechercher d’autres menaces sur l’hôte.
Le binaire d’origine peut ne pas être disponible localement. Bien que le programme d’installation crée une sauvegarde nommée cwpsrv.prev- suivie d’un horodatage, il supprime cette sauvegarde après une installation réussie. Toute sauvegarde restante provenant d’un hôte compromis doit être considérée avec prudence.
Comme le programme d’installation de CWPdoor nécessite les privilèges root, remplacer uniquement le binaire ne suffit pas à établir que le reste du serveur est digne de confiance.
La même question se pose lorsque d’autres portes dérobées de serveur survivent aux mises à jour logicielles. Lors d’un récent incident Adobe Commerce, il a été conseillé aux administrateurs de rechercher les mécanismes de persistance et de renouveler les identifiants exposés, plutôt que de supposer qu’un correctif avait supprimé toutes les menaces.
En cas de compromission confirmée par CWPdoor, les administrateurs doivent :
- Isoler l’hôte affecté afin d’empêcher tout nouvel accès non autorisé, tout en préservant les éléments nécessaires à l’enquête.
- Enquêter sur l’intrusion, notamment les connexions privilégiées, les processus suspects, les fichiers inattendus et les connexions sortantes.
- Reconstruire le système à partir d’une installation de confiance lorsque l’intégrité du système d’exploitation ne peut pas être établie. Évitez de transférer des binaires système potentiellement compromis dans l’environnement de remplacement.
- Renouveler les identifiants exposés, notamment les mots de passe des administrateurs CWP, les identifiants SSH, les mots de passe des bases de données, les comptes d’hébergement et les secrets applicatifs.
- Vérifier la récupération en contrôlant les binaires installés, les processus en cours d’exécution, les connexions réseau et l’absence des indicateurs connus de CWPdoor.
XLab conseille de mettre CWP à niveau vers la dernière version, mais n’a pas identifié de correctif de sécurité CWP précis qui remédie à la méthode d’intrusion initiale inconnue. La mise à niveau ne doit donc pas être considérée comme la preuve qu’un attaquant ne peut plus obtenir d’accès.
Limiter l’accès administratif aux réseaux de confiance et surveiller les connexions sortantes inattendues peut également réduire l’exposition.
Ce que les administrateurs ignorent encore
XLab n’a pas identifié la méthode d’accès initiale, nommé les attaquants ni établi combien de serveurs sont infectés. Les chercheurs ne peuvent pas non plus confirmer que CWPdoor et le logiciel malveillant associé à Ebury découvert dans l’échantillon brésilien sont liés.
Les éléments disponibles justifient de considérer une infection confirmée par CWPdoor comme une compromission grave du serveur. Les administrateurs doivent déterminer comment l’accès root a été obtenu, et non simplement supprimer le serveur web modifié avant de reprendre les opérations normales.
Des journaux propres et des horodatages inchangés constituent une garantie particulièrement faible dans ce cas. CWPdoor a été conçu pour préserver les deux tout en fournissant aux attaquants un canal de commande dissimulé.
À lire aussi : Une récente attaque de la chaîne d’approvisionnement de cPGuard a compromis près de 3 000 serveurs Linux par l’intermédiaire de mises à jour de sécurité piégées, obligeant les administrateurs à enquêter sur les accès privilégiés et les identifiants potentiellement dérobés.