Une nouvelle porte dérobée Linux baptisée CWPdoor se diffuse à travers une version piégée de cwpsrv, le serveur web utilisé par l’interface d’administration Control Web Panel. Le malware reste silencieux jusqu’à la réception d’une requête spécialement préparée par l’attaquant.
Comment CWPdoor infecte les serveurs
Les chercheurs de XLab ont découvert un faux script de mise à jour qui remplace le binaire légitime cwpsrv par une version malveillante. Les versions 1.15.10 et 1.24.0 ont notamment été ciblées. Le script restaure les dates des fichiers, supprime les éléments temporaires et efface l’historique des commandes afin de masquer l’opération.
CWP est une solution d’administration d’hébergement comparable à cPanel ou Plesk. Elle permet de gérer des sites, des bases de données, le DNS et les courriels. Plus de 340 000 instances auraient été visibles sur Internet au cours du dernier mois, ce qui rend la plateforme particulièrement attractive pour les attaquants.
Une porte dérobée difficile à détecter
CWPdoor n’ouvre pas une connexion permanente facilement observable. Il attend une requête HTTP contenant plusieurs en-têtes spécifiques, dont X-Ngx-Integrity-Data. Les commandes et leurs résultats sont chiffrés, horodatés et protégés par une signature RSA. Le malware supprime aussi la requête de déclenchement des journaux d’accès.
Que doivent vérifier les administrateurs ?
- la présence du socket
ngx_http_integrity_helper; - des processus auxiliaires inhabituels associés à cwpsrv ;
- la chaîne
X-Ngx-Integritydans le binaire du serveur ; - les modifications inexpliquées de fichiers malgré des dates apparemment normales ;
- d’autres malwares ou comptes persistants sur l’hôte.
En cas de compromission, il faut isoler le serveur, remplacer le binaire par une copie authentique, mettre CWP à jour et changer tous les identifiants du panneau. Une réinstallation complète peut être préférable si l’intégrité de la machine ne peut plus être garantie.
