Linux Sunucularda Yeni Tehdit: CWPdoor Arka Kapısı Control Web Panel’e Gizlendi

Araştırmacılar, Linux sunucularda sessizce kalabilen yeni bir arka kapı keşfetti. CWPdoor adlı zararlı, Control Web Panel’in (CWP) yönetim arayüzünü çalıştıran web sunucusunun kurcalanmış bir kopyasına gizleniyor. BleepingComputer’ın aktardığına göre implant, özel imzalı bir istek gelene kadar uykuda kalıyor ve izini erişim günlüklerine bile düşürmüyor.

Sahte güncelleme betiği sunucu dosyasını değiştiriyor

QiAnXin’in araştırma kolu XLab, araç setini ilk kez 29 Haziran’da fark etti. cwpsrv_update.sh adlı betik güncelleme aracı gibi görünüyor ancak gerçek cwpsrv ikili dosyasının yerine zararlı sürümü koyuyor. Saldırganlar ayrı bir program bırakmak yerine kendi kodlarını cwpsrv kaynak koduna ekleyip yeniden derlemiş. Betik yalnızca 1.15.10 ile 1.24.0 arası sürümlerde çalışıyor ve root yetkisi gerektiriyor; yani ele geçirilmiş bir sunucuda kalıcılık sağlıyor. Değişikliği gizlemek için dosya zaman damgalarını geri yüklüyor, geçici dosyaları siliyor ve komut geçmişini temizliyor.

İmzalı komutlar, hiç beacon yok

Operatörler komutları, zaman damgası, AES-256-CBC ile şifrelenmiş bir yük ve RSA imzası taşıyan üç özel HTTP başlığıyla gönderiyor. Arka kapı, beş dakikalık zaman penceresinin dışındaki istekleri reddediyor; imza doğrulanırsa komutu çözüp yardımcı bir süreçle çalıştırıyor. Zararlı hiçbir dinleme portu açmıyor ve dışarıya sinyal (beacon) göndermiyor. Bu yüzden operatör bağlanana kadar ağ sensörlerinin yakalayabileceği bir iz oluşmuyor. XLab bu nedenle yazılımı “olağanüstü gizli” olarak niteliyor.

Gerçek mağdurlar var, arkasındaki aktör belirsiz

CWPdoor, 30 Eylül’de VirusTotal’a, uzun süredir etkin olan kimlik bilgisi hırsızı Ebury arka kapısını da içeren bir arşivin parçası olarak yüklenmişti. O tarihte hiçbir güvenlik şirketi zararlı cwpsrv dosyasını tehdit olarak işaretlememişti. XLab, internete açık 340 binden fazla CWP örneği tespit etti; bu sayı enfeksiyonu değil, yalnızca potansiyel maruziyeti gösteriyor. Ebury ile bağlantı ve saldırganların ilk root erişimini nasıl elde ettiği henüz bilinmiyor. Yöneticilerden ngx_http_integrity_helper adlı Unix soketini, şüpheli cwpsrv yardımcı süreçlerini ve ikili dosyadaki “X-Ngx-Integrity” dizelerini kontrol etmesi isteniyor. Ele geçirilmiş sunucularda ikili dosyayı meşru kopyayla değiştirmek, CWP’yi yükseltmek ve tüm panel parolalarını yenilemek öneriliyor.