Хакери кријат Linux-задна врата во серверот Control Web Panel за извршување команди без нивно евидентирање

Задна врата (backdoor) е откриена скриена во веб-серверот што ја користи Control Web Panel (CWP), бесплатна контролна табла за управување со Linux-хостинг сервери, соопштија оваа недела истражувачите од XLab на QiAnXin.

Компромитираниот веб-сервер извршува команди што напаѓачите ги испраќаат преку веб-барања, а тие барања никогаш не се појавуваат во неговите логови за пристап (access logs). За нејзина инсталација е потребен root-пристап, што значи дека напаѓачите веќе мора да имаат контрола врз серверот.

Истражувачите, кои на задната врата ѝ го дале името cwpdoor, ја откриле нејзината инсталациска скрипта на 29 јуни. Станува збор за shell-скрипта која се претставува како ажурирање на верзијата на софтверот. Инсталациската скрипта поддржува само две верзии на веб-серверот, cwpsrv 1.15.10 и 1.24.0. Истражувачите сè уште не знаат на кој начин напаѓачите го добиваат root-пристапот потребен за инсталација.

На 30 септември, на платформата VirusTotal од Бразил била поставена архива која содржела копија од задната врата. Според истражувачите, ова укажува дека „веќе постојат реални жртви во активни напади“. Тие не наведуваат колкав е бројот на заразени сервери.

Истражувачите утврдиле дека задната врата всушност е самиот cwpsrv, кој е повторно изграден со дополнителен код, како што е наведено во нивната техничка анализа.

Задната врата се однесува како нормална програма сè додека не пристигне барање со валиден временски печат (timestamp) и дигитален потпис во прилагодени HTTP-заглавија чии имиња започнуваат со X-Ngx-Integrity. Потоа ја извршува командата содржана во барањето.

Кога инсталациската скрипта ја заменува датотеката cwpsrv, таа ги враќа датумите на датотеката на нивните оригинални вредности, така што проверките со командите ls и stat покажуваат дека датотеката не е променета. Во моментот кога истражувачите ја провериле, задната врата имала нула детекции од вкупно 63 на платформата VirusTotal.

Проверка на сервер за присуство на задната врата

XLab наведува три начини за проверка:

• Сокет: Извршете ја командата ss -axp | grep integrity. Резултат што го содржи името ngx_http_integrity_helper, Unix-сокетот што го користи задната врата, е показател за можна инфекција.
• Процес: Извршете ја командата ps aux | grep cwpsrv и проверете дали има неочекувани помошни процеси (helper processes) што ги стартува cwpsrv.
• Датотека: Извршете ја командата strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity и проверете дали се појавуваат имињата на HTTP-заглавијата што ги користи задната врата.

Во примерот на истражувачите, проверката на сокетот ја открила задната врата на сервер на кој списокот со отворени порти изгледал сосема нормално.

Истражувачите ги објавија следните индикатори за компромитирање (IoC):

• MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (инсталациска скрипта, cwpsrv_update.sh)
• MD5: 965aea67fb40de1bab5169ada993349f (компромитирана верзија на cwpsrv 1.15.10)
• MD5: d3f4e95113d49ab3991b45e457bda75b (компромитирана верзија на cwpsrv 1.24.0)
• IP-адреса: 136.0.141[.]71 (сервер за преземање)
• URL: https://136.0.141[.]71/static/cwpsrv_update.sh
• URL: https://136.0.141[.]71/static/cwpsrv_1.15.10
• URL: https://136.0.141[.]71/static/cwpsrv_1.24.0

Отстранување на задната врата од заразен сервер

Доколку серверот е заразен, истражувачите препорачуваат преземање на три чекори:

1. Враќање на оригиналната верзија на cwpsrv: Користете ја резервната копија што ја создава инсталациската скрипта во директориумот /usr/local/cwpsrv/bin. Нејзиното име започнува со cwpsrv.prev- и завршува со датум и време. Сепак, оваа копија можеби нема да биде достапна, бидејќи според описот на инсталациската скрипта, таа ги брише „привремените датотеки и резервната копија“ по успешно заменување на датотеката.

2. Ажурирање на софтверот: Надградете ја контролната табла до најновата верзија, а потоа потврдете дека командата ss -axp | grep integrity не враќа никакви резултати.

3. Промена на сите пристапни податоци: Променете ги сите лозинки и податоци за пристап до контролната табла, бидејќи задната врата може да извршува какви било команди. Сметајте дека целиот сервер е компромитиран и проверете го за присуство на други закани.

Архивата поставена на VirusTotal од Бразил го содржела и малициозниот софтвер Ebury, задната врата за OpenSSH и алатка за кражба на акредитиви (credential stealer), која е активна најмалку од 2009 година.

Истражувачите не знаат дали двата малициозни софтвери се поврзани и наведуваат дека е можно различни напаѓачи да ги поставиле на истиот сервер.

Извори:

• The Hacker News – Hackers Hide Linux Backdoor in Control Web Panel Server to Execute Commands Without Logs The Hacker News