هکرها سرورهای لینوکس را با استفاده از وب سرور CWP تروجانیزه می کنند

یک بدافزار جدید لینوکس به نام CWPdoor از طریق نسخه تروجانیزه شده cwpsrv، سرور وب پشت رابط مدیریت کنترل وب (CWP) در حال توزیع است.

CWPdoor به عنوان یک درپشتی غیرفعال عمل می کند که تا زمانی که مهاجم یک درخواست طراحی شده خاص ارسال کند، روی سیستم در معرض خطر غیرفعال می ماند.

محققان XLab، بازوی تحقیقاتی امنیت سایبری گروه فناوری QiAnXin، CWPdoor را به دلیل ویژگی فعال کردن غیرفعال و سرکوب گزارش‌ها به‌عنوان «به‌طور استثنایی مخفی» توصیف می‌کنند.

CWP که قبلا به عنوان پنل وب CentOS شناخته می شد، یک راه حل مدیریت میزبانی وب منبع باز شبیه به cPanel و Plesk است که به کاربران اجازه می دهد سرورها و سرویس های وب مانند ایمیل، DNS و پایگاه های داده را مدیریت کنند.

طبق گفته XLab، بیش از 340000 نمونه CWP در یک ماه گذشته در وب عمومی منتشر شده است.

محققان بدافزار CWPdoor را در 29 ژوئن پس از ضبط یک اسکریپت به‌عنوان به‌روزرسانی‌کننده کشف کردند که باینری قانونی «cwpsrv» را با یک نسخه مخرب جایگزین کرد.

این اسکریپت جایگزین cwpsrv نسخه‌های 1.15.10 و 1.24.0 می‌شود و چندین مرحله را برای مخفی کردن سوئیچ انجام می‌دهد، مانند بازیابی مهرهای زمانی فایل و فهرست، حذف فایل‌های موقت، و پاک کردن گزارش تاریخچه فرمان.

اپراتورهای بدافزار، درب پشتی را با ارسال دستوراتی برای اجرا، در قالب یک سربرگ HTTP رمزگذاری شده (X-Ngx-Integrity-Data) فعال می کنند. درخواست همچنین حاوی سرصفحه‌هایی برای مهر زمانی (X-Ngx-Integrity-Time) و امضای RSA (X-Ngx-Integrity-Sig) است.

دستورات و خروجی آنها با استفاده از رمز AES-256-CBC برای محافظت از آنها رمزگذاری می شوند.

درپشتی بررسی می‌کند که آیا مهر زمانی در یک پنجره پنج دقیقه‌ای قرار می‌گیرد و امضای RSA را قبل از رمزگشایی دستور و ارسال آن به یک فرآیند کمکی برای اجرا تأیید می‌کند.

XLab توضیح می دهد: «تغییر مهر زمان یا متن رمز به طور مستقل امضا را باطل می کند.

این مکانیسم با اتصال سه فیلد به یکدیگر و اجرای یک پنجره زمانی ± 300 ثانیه، حفاظت از پخش مجدد و کنترل مجوز را فراهم می کند.

درپشتی همچنین با ماژول ورود به سیستم سرور تداخل می کند تا از نمایش درخواست راه اندازی در گزارش های دسترسی جلوگیری کند.

پس از یافتن اسکریپت اولیه عفونت، محققان CWPdoor را در 30 سپتامبر در VirusTotal در آرشیوی که شامل درپشتی Ebury بود، مشاهده کردند.

چیزی که توجه آنها را به خود جلب کرد این بود که فایل مخرب cwpsrv (cwpsrv.suspeito) در بایگانی هیچ شناسایی نداشت.

محققان می‌گویند: «این نشان می‌دهد که این کمپین صرفا تجربی نبوده است: قربانیان واقعی از قبل در طبیعت وجود دارند.» و اضافه کردند که ارتباط بین Ebury و CWPdoor همچنان نامشخص است.

Ebury یک عملیات بات‌نت در پشتی لینوکس و دزد اعتبار است که حداقل از سال 2009 فعال است. گزارشی از شرکت امنیت سایبری ESET در می 2024 نشان داد که این بدافزار از زمان ظهور نزدیک به 400000 سرور را آلوده کرده است.

محققان توصیه می‌کنند که مدیران سوکت یونیکس ngx_http_integrity_helper، فرآیندهای کمکی مشکوک cwpsrv و رشته‌های X-Ngx-Integrity را در باینری سرور بررسی کنند.

اگر مصالحه تأیید شد، باینری پشتی‌دار را با یک کپی قانونی جایگزین کنید، به آخرین نسخه ارتقا دهید، تمام اعتبارنامه‌های کنترل پنل را بچرخانید، و میزبان را برای بدافزار اضافی بررسی کنید.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

پسوند کد مخرب کلود در دربهای پشتی SSH توسط مکان نما نصب شده است

تجزیه و تحلیل کد VirusTotal AI پشتیبانی از اسکریپت ویندوز و لینوکس را گسترش می دهد

بدافزار MacSync از تقویم های عمومی iCloud برای تحویل بارهای جدید استفاده می کند

بدافزار BambooToken سیستم های ویندوز و لینوکس را از طریق MQTT کنترل می کند