Un nuevo malware para sistemas Linux, denominado CWPdoor, ha sido detectado distribuyéndose a través de una versión trojanizada del servidor web cwpsrv, componente central del panel de administración Control Web Panel (CWP). Esta amenaza fue identificada por XLab, la división de ciberseguridad de QiAnXin Technology Group.
Funcionamiento y características del malware CWPdoor
CWPdoor actúa como una puerta trasera pasiva que permanece inactiva hasta que recibe una solicitud especialmente diseñada por el atacante. Según explican los investigadores, el malware es "excepcionalmente sigiloso" debido a que su activación es pasiva y suprime registros de acceso para evitar ser detectado.
El malware reemplaza las versiones legítimas 1.15.10 y 1.24.0 del binario cwpsrv mediante un script que simula ser un actualizador. Este script realiza acciones para ocultar la infección, como restaurar las marcas de tiempo de archivos y directorios, eliminar archivos temporales y borrar el historial de comandos.
Te puede interesar
TecnologíaPangram amplía sus herramientas para detectar contenido generado por IA en videos e imágenesLa empresa Pangram, reconocida por su herramienta para detectar textos generados por inteligencia artificial, ha lanzado…Leer la nota Mecanismo de activación y seguridad del backdoor
La puerta trasera se activa mediante comandos enviados en un encabezado HTTP cifrado (X-Ngx-Integrity-Data), acompañado de otros encabezados que incluyen una marca temporal (X-Ngx-Integrity-Time) y una firma RSA (X-Ngx-Integrity-Sig). Los comandos y sus resultados se cifran con AES-256-CBC para proteger la comunicación.
El sistema verifica que la marca temporal esté dentro de una ventana de cinco minutos y valida la firma RSA antes de ejecutar cualquier comando, lo que proporciona protección contra ataques de repetición y asegura el control de autorización.
Impacto y recomendaciones para administradores
Según XLab, más de 340,000 instancias de CWP han estado expuestas públicamente en el último mes, lo que evidencia la magnitud del riesgo. La detección del malware en VirusTotal en septiembre, junto con la ausencia de detecciones en el archivo malicioso, indica que ya existen víctimas reales.
Los expertos recomiendan a los administradores revisar la presencia del socket Unix ngx_http_integrity_helper, procesos sospechosos relacionados con cwpsrv y cadenas X-Ngx-Integrity en el binario del servidor. En caso de confirmarse la infección, se debe reemplazar el binario comprometido por una versión legítima, actualizar a la última versión del panel, cambiar todas las credenciales y realizar un análisis completo en busca de malware adicional.
Contexto adicional sobre amenazas similares
El malware CWPdoor se ha encontrado en un archivo que también contenía el backdoor Ebury, una operación de botnet para Linux activa desde al menos 2009, que ha infectado cerca de 400,000 servidores según un informe de ESET publicado en mayo de 2024. La relación entre CWPdoor y Ebury aún no está clara.
