Control Web Panel sunucularına truva atlı web sunucusuyla gizli Linux arka kapısı yerleştirildi

Barındırma sektöründe yaygın kullanılan Control Web Panel (CWP, eski adıyla CentOS Web Panel) sunucularını hedef alan, oldukça gizli çalışan bir Linux arka kapısı tespit edildi. QiAnXin Technology Group'un araştırma birimi XLab, CWPdoor adını verdiği zararlıyı, güncelleyici kılığına girmiş bir betiği yakaladıktan sonra inceledi.

Arka kapı nasıl yerleşiyor?

Güncelleyici gibi görünen betik, CWP yönetim arayüzünü çalıştıran meşru cwpsrv web sunucusu dosyasını zararlı bir sürümle değiştiriyor. Haberde 1.15.10 ve 1.24.0 sürümleri etkilenen sürümler olarak anılıyor. Saldırganların sunuculara ilk erişimi nasıl sağladığı ve bir CVE kullanılıp kullanılmadığı açıklanmadı.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

CWPdoor pasif bir arka kapı: operatör özel hazırlanmış bir istek gönderene kadar sessiz kalıyor. Gelen komutların imzasını doğruluyor, tekrar saldırılarına karşı isteğin zaman damgasının beş dakikalık pencere içinde olup olmadığını kontrol ediyor ve trafiği AES-256-CBC ile şifreliyor. Tetikleyici isteğin loglanmasını engelleyen zararlı; dosya zaman damgalarını geri yükleme, geçici dosyaları ve komut geçmişini silme gibi adli analiz karşıtı teknikler de kullanıyor.

Ebury bağlantısı

XLab, CWPdoor'un 30 Eylül'de VirusTotal'a, uzun süredir aktif olan Ebury arka kapısıyla aynı arşiv içinde yüklendiğini gözlemledi. Zararlı cwpsrv dosyası o tarihte hiçbir antivirüs motoru tarafından tespit edilmiyordu; araştırmacılar bunun gerçek kurbanların bulunduğuna işaret ettiğini düşünüyor. İki zararlı arasındaki ilişki netleşmiş değil. ESET, Mayıs 2024'te Ebury'nin yaklaşık 400 bin sunucuya bulaştığını raporlamıştı.

XLab'e göre son bir ayda internette 340 binden fazla CWP örneği görünür durumdaydı; ancak kaç sunucunun ele geçirildiği bilinmiyor.

Ne yapılmalı?

• XLab'in yayımladığı göstergeleri (belirli bir Unix soketi, şüpheli yardımcı süreçler ve sunucu dosyasındaki dizgiler) sistemlerinizde arayın.
• Ele geçirme doğrulanırsa cwpsrv dosyasını meşru bir kopyayla değiştirin ve CWP'yi en güncel sürüme yükseltin.
• Tüm kontrol paneli kimlik bilgilerini yenileyin, sunucuyu Ebury dahil diğer zararlılar için ayrıca inceleyin.
• CWP yönetim arayüzünü internete açık bırakmayın, erişimi IP bazında kısıtlayın.