A QiAnXin XLab kutatói szerint backdoort találtak abban a web szerverben, amely a Control Web Panelt (CWP) futtatja. A CWP egy ingyenes panel Linuxos tárhelyszolgáltató szerverek kezelésére.

A backdoorral módosított web szerver olyan parancsokat hajt végre, amelyeket a támadók webes kéréseken keresztül küldenek, miközben ezek a kérések nem jelennek meg a hozzáférési naplókban. A telepítéséhez root jogosultság kell, vagyis a támadóknak már eleve teljesen uralniuk kell a szervert.

A kutatók cwpdoor néven emlegetik a backdoort. Június 29-én sikerült elkapniuk a telepítőjét, egy shell scriptet, amely verziófrissítésnek álcázza magát. A telepítő csak a web szerver két verzióját kezeli: a cwpsrv 1.15.10-et és az 1.24.0-t. Egyelőre nem tudják, a támadók hogyan szerzik meg a szükséges root hozzáférést.

Szeptember 30-án egy, a backdoor másolatát tartalmazó archívumot töltöttek fel a VirusTotalra Brazíliából. A kutatók szerint ez arra utal, hogy „már vannak valódi áldozatok”. Fertőzött szerverek számát nem közölték.

A backdoor maga a cwpsrv, újrafordítva extra kóddal – derült ki a kutatók technikai elemzéséből. Úgy viselkedik, mint a normál program, amíg nem érkezik olyan kérés, amelyben érvényes időbélyeg és aláírás szerepel az X-Ngx-Integrity kezdetű egyedi HTTP fejlécekben. Ilyenkor lefuttatja a kérésben átadott parancsot.

Amikor a telepítő lecseréli a cwpsrv fájlt, visszaállítja az eredeti dátumokat, így az ls és stat parancsok alapján úgy tűnik, mintha nem változott volna. Amikor a kutatók ellenőrizték, a backdooros fájlt a VirusTotal 63 motorja közül egy sem jelezte kártevőként.

Hogyan ellenőrizhető, hogy fertőzött-e a szerver?

Az XLab három ellenőrzést javasol:

• Socket: futtasd a ss -axp | grep integrity parancsot. Ha az eredményben megjelenik a ngx_http_integrity_helper, vagyis a backdoor által használt Unix socket, az fertőzésre utal.
• Folyamat: futtasd a ps aux | grep cwpsrv parancsot, és keresd a cwpsrv által indított, váratlan segédfolyamatokat.
• Fájl: futtasd a strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity parancsot, és nézd meg, szerepelnek-e benne a backdoor által használt fejlécnevek.

A kutatók példájában a socket-ellenőrzés kimutatta a backdoort egy olyan szerveren, ahol a nyitott portok listája első ránézésre teljesen normálisnak tűnt.

Az alábbi indikátorokat tették közzé:

• MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (telepítő script, cwpsrv_update.sh)
• MD5: 965aea67fb40de1bab5169ada993349f (backdooros cwpsrv 1.15.10)
• MD5: d3f4e95113d49ab3991b45e457bda75b (backdooros cwpsrv 1.24.0)
• IP: 136.0.141[.]71 (letöltőszerver)
• URL: http://136.0.141[.]71/static/cwpsrv_update.sh
• URL: http://136.0.141[.]71/static/cwpsrv_1.15.10
• URL: http://136.0.141[.]71/static/cwpsrv_1.24.0

Fertőzött szerver megtisztítása

Ha egy szerver fertőzött, a kutatók három lépést javasolnak:

• Állítsd vissza az eredeti cwpsrv-t abból a biztonsági mentésből, amit a telepítő hoz létre a /usr/local/cwpsrv/bin könyvtárban. Ennek a neve cwpsrv.prev- kezdetű, a végén dátummal és időponttal. A kutatók leírása szerint a telepítő egy sikeres cserélés után „a temporális fájlokat és a biztonsági mentést” is törli, így ez a másolat lehet, hogy már nincs meg.
• Végezz verziófrissítést a legújabb verzióra, majd ellenőrizd, hogy a ss -axp | grep integrity parancs nem ad vissza semmit.
• Változtass meg minden vezérlőpanelelérést (felhasználónév/jelszó stb.), mert a backdoor tetszőleges parancsot futtathat. Úgy kezeld, mintha a teljes szerver kompromittálódott volna, és vizsgáld át más fenyegetések után is.

A Brazíliából feltöltött archívumban az Ebury malware is benne volt. Ez egy OpenSSH backdoor és hitelesítőadat-lopó, amely legalább 2009 óta aktív. A kutatók nem tudják, van-e kapcsolat a kettő között, szerintük akár különböző támadók is telepíthették őket ugyanarra a szerverre.