Исследователи обнаружили бэкдор CWPdoor, который подменяет бинарный файл веб-сервера в панели Control Web Panel и превращает Linux-хост в тихо управляемую точку доступа. Риск касается не экзотической инфраструктуры: за последний месяц в публичном интернете было замечено более 340 тысяч экземпляров CWP, а для российских администраторов и хостинг-провайдеров это повод проверить панели управления до того, как проверять последствия.
По данным BleepingComputer, вредонос распространяется под видом обновления и заменяет легитимный файл cwpsrv — веб-сервер, обслуживающий интерфейс CWP. Панель, ранее известная как CentOS Web Panel, используют для управления веб-серверами, почтой, DNS и базами данных; по назначению она близка к cPanel и Plesk. Компрометация такого компонента опасна не только возможностью выполнить команду на сервере: атакующий получает доступ к системе, где уже собраны ключи, пароли, конфигурации сайтов и почтовые настройки.
Кампанию выявили специалисты XLab, исследовательского подразделения QiAnXin Technology Group. 29 июня они перехватили скрипт, выдававший себя за штатный апдейтер. Скрипт рассчитан на версии cwpsrv 1.15.10 и 1.24.0. После замены бинарника он восстанавливает временные метки файлов и каталогов, удаляет временные артефакты и очищает историю команд оболочки. Это не магия невидимости, а аккуратная попытка сделать инцидент похожим на обычное обслуживание сервера — ровно до первой внимательной проверки.
Сам бэкдор не устанавливает очевидный сетевой сервис и не шумит периодическими соединениями с управляющим сервером. Он пассивно ждёт специально подготовленный HTTP-запрос. Команда передаётся в зашифрованном заголовке X-Ngx-Integrity-Data; рядом идут заголовки с отметкой времени X-Ngx-Integrity-Time и RSA-подписью X-Ngx-Integrity-Sig. Данные и ответ шифруются AES-256-CBC. Перед запуском команды вредонос проверяет подпись и допускает только запросы, попадающие в пятиминутное временное окно. Такой механизм затрудняет повторное воспроизведение перехваченного запроса и отсеивает случайные обращения к серверу.
Отдельно неприятна работа с журналированием. CWPdoor вмешивается в модуль логов веб-сервера, чтобы управляющий запрос не оказался в access log. Администратор, который ограничится поиском подозрительных URL в стандартных журналах, может ничего не найти. Исполнение команд вынесено в вспомогательный процесс, а это добавляет ещё один слой между вредоносным запросом и его результатом. Для атакующих схема удобна: веб-интерфейс остаётся доступным пользователям, а скрытый канал маскируется под технические HTTP-заголовки.
Исследователи увидели ещё один признак того, что речь идёт не о лабораторном образце. 30 сентября на VirusTotal появился архив с файлом cwpsrv.suspeito — вредоносной версией cwpsrv — и бэкдором Ebury. На момент загрузки файл не детектировался антивирусными движками. Связь CWPdoor с Ebury пока не доказана, но соседство выглядит тревожно. Ebury — давно известная Linux-операция по созданию ботнета и краже учётных данных, активная как минимум с 2009 года; в отчёте ESET за май 2024 года говорилось почти о 400 тысячах скомпрометированных серверов за всё время её существования.
Для команды эксплуатации здесь нет повода ограничиваться обновлением пакета «на всякий случай». Сначала стоит проверить наличие Unix-сокета ngx_http_integrity_helper, нетипичных вспомогательных процессов cwpsrv и строк X-Ngx-Integrity в бинарном файле веб-сервера. Это не исчерпывающие индикаторы, но они дают быстрый старт для охоты на угрозу. Если подмена подтверждена, вредоносный бинарник нужно заменить на доверенную копию, обновить CWP до актуальной версии, сменить все учётные данные панели и провести полноценное расследование хоста: один внедрённый веб-бэкдор редко бывает единственной проблемой.
Для разработчиков и владельцев продуктов на CWP важен и организационный вывод. Панель администрирования не должна быть просто ещё одним сервисом с открытым веб-интерфейсом: ей нужны ограничение доступа по сети, отдельные учётные записи, контроль целостности исполняемых файлов и независимый сбор логов. Иначе бэкдор CWPdoor превращает обновление в точку входа, а встроенное подавление журналов — в аргумент против слишком доверчивого мониторинга.
Эта история хорошо показывает, куда смещаются атаки на Linux-инфраструктуру: не обязательно искать громкую уязвимость в приложении, если можно подменить компонент, которому администратор и так доверяет. Чем больше задач — сайты, почта, DNS, базы данных — собрано за одной панелью, тем выше цена проверки происхождения каждого бинарника и каждого «обновляющего» скрипта.
