BRASIL / LONDON (IT BOLTWISE) – Sicherheitsforscher von QiAnXin XLab haben eine Backdoor im Webserver von „Control Web Panel“ (CWP) gefunden. Der manipulierte Server führt Kommandos aus, die Angreifer über HTTP-Anfragen senden, und diese Requests tauchen nicht in den Access-Logs auf. Ausgeliefert wird die Veränderung über einen Installer, der Root-Zugriff voraussetzt, sodass die Angreifer den Server bereits kontrollieren müssen. Die Analyse zeigt außerdem Erkennungsindikatoren wie einen speziellen Unix-Socket sowie ungewöhnliche Prozesse, die von cwpsrv gestartet werden.
Bei „Control Web Panel“ (CWP) handelt es sich um ein freies Panel zur Verwaltung von Linux-Hosting-Servern. Genau dieses Verwaltungs-Frontdoor gerät nun in den Fokus, denn Sicherheitsforscher von QiAnXin XLab haben eine Backdoor im Webserver entdeckt, der im Hintergrund für CWP-Anfragen zuständig ist. Auffällig ist dabei nicht nur die klassische Fähigkeit, Kommandos auszuführen, sondern vor allem die Logik, mit der der Angriffsverlauf schwerer nachvollziehbar gemacht wird: Die von Angreifern verwendeten Webanfragen sollen im Access-Log des betroffenen Servers nicht auftauchen. Das kann für Betreiber besonders tückisch sein, weil Monitoring- und Incident-Response-Prozesse häufig genau auf solche Logs angewiesen sind, um die ersten verwertbaren Hinweise zu bekommen.
Die Forscher benennen die Hintertür „cwpdoor“ und beschreiben, dass die eigentliche Backdoor im cwpsrv-Binärprogramm selbst steckt. Laut Analyse verhält sich die Software im Normalbetrieb wie die unmodifizierte Version, bis eine spezielle Bedingung erfüllt wird: Sobald eine HTTP-Anfrage mit einem gültigen Zeitstempel und einer Signatur in benutzerdefinierten Headern eintrifft, deren Namen mit „X-Ngx-Integrity“ beginnen, wird der im Request enthaltene Befehl ausgeführt. Entscheidend ist auch, wie sich die Manipulation vor der Entdeckung tarnt. Wenn der Installer die cwpsrv-Datei ersetzt, stellt er die Dateizeitstempel wieder auf die ursprünglichen Werte zurück. Dadurch wirkt das binäre Ziel bei typischen Prüfungen wie „ls“ oder „stat“ unverändert, obwohl im Inneren zusätzliche Logik läuft.
Ausgeliefert wird der Eingriff über einen Installer, der als Shell-Skript daherkommt und sich als „version update“ tarnt. Die Forscher haben dieses Skript in ihrer Untersuchung am 29. Juni gesichert; es behandelt dabei nur zwei Versionen des Webservers: cwpsrv 1.15.10 und cwpsrv 1.24.0. Diese Einschränkung passt zu dem Muster, dass Angreifer gezielt für bestimmte Binärstände entwickeln, weil sich Layout, Pfade oder Validierungsmechanismen je Version unterscheiden können. Gleichzeitig bleibt eine zentrale Frage offen: Die Backdoor-Installation benötigt Root-Zugriff, sodass die Angreifer bereits auf dem System Fuß gefasst haben müssen. Unklar ist nach Angaben der Forscher weiterhin, wie der Root-Zugriff in den betroffenen Fällen konkret erlangt wird.
Ein weiterer Baustein der Einordnung ergibt sich aus der Verbreitungs- beziehungsweise Sichtbarkeitsphase nach der Entdeckung. Am 30. September wurde ein Archiv mit einer Kopie der Backdoor über VirusTotal hochgeladen, und zwar aus Brasilien. Die Forscher werten das als Hinweis darauf, dass „reale Opfer bereits in freier Wildbahn existieren“, ohne jedoch eine genaue Zahl kompromittierter Server zu nennen. In der eigenen Prüfung der Forschenden ergab sich zudem ein ernüchternder Effekt für klassische statische Erkennung: Die Backdoor-Datei wies zum Zeitpunkt des Checks null Treffer bei 63 Auswertungen auf. Für Betreiber bedeutet das vor allem: Nur auf Signaturbasierte Erkennung zu setzen, reicht in solchen Fällen nicht aus, wenn die Malware so präpariert ist, dass gängige Heuristiken ausbleiben.
Zur Detektion liefern die Forscher drei konkrete Prüfpfade. Erstens über einen Socket-Check: „ss -axp | grep integrity“ soll auf das Vorhandensein eines Eintrags wie „ngx_http_integrity_helper“ achten, also des Unix-Sockets, über den die Backdoor offenbar kommuniziert. Zweitens über einen Prozesscheck: „ps aux | grep cwpsrv“ und dann das Augenmerk auf unerwartete Helper-Prozesse legen, die von cwpsrv gestartet wurden. Drittens über einen Datei-/String-Check: „strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity“ soll die Headernamen sichtbar machen, die zu der Backdoor-Logik passen. Dass ein Socket-Detekt hier auch bei scheinbar unauffälliger Portlandschaft funktioniert, zeigt das Beispiel der Forschenden: Die offenen Ports wirkten normal, dennoch war die Backdoor vorhanden. Ergänzend werden Hashwerte veröffentlicht: MD5 e505d4ffa21cf494a5dc2d7c8f4f1236 (Installer-Skript „cwpsrv_update.sh“), MD5 965aea67fb40de1bab5169ada993349f (Backdoored cwpsrv 1.15.10) und MD5 d3f4e95113d49ab3991b45e457bda75b (Backdoored cwpsrv 1.24.0). Als Quellhinweise nennt der Bericht außerdem die Download-Umgebung mit IP 136.0.141[.]71 und konkreten URL-Pfaden, etwa „https: //136.0.141[.]71/static/cwpsrv_update.sh“ sowie „https: //136.0.141[.]71/static/cwpsrv_1.15.10“ und „https: //136.0.141[.]71/static/cwpsrv_1.24.0“.
Für die Bereinigung empfiehlt das Team ein Vorgehen, das über das bloße Entfernen der Binärdatei hinausgeht. Zuerst soll bei einem Befall das Original-cwpsrv aus dem Backup wiederhergestellt werden, das der Installer anlegt; dabei lautet das Muster für den Dateinamen „cwpsrv.prev-…“ mit angehängtem Datum und Uhrzeit. Falls dieser Kopierstand nach dem Tausch bereits entfernt wurde, kann die Wiederherstellung aus dem externen Backup nötig sein, weil der Installer laut Beschreibung nach erfolgreichem Swap „temporary files und backup“ wieder löscht. Danach wird ein Upgrade auf die neueste Version durchgeführt und erneut verifiziert, dass der Integrity-Socket nicht mehr nachweisbar ist, also „ss -axp | grep integrity“ ohne Treffer bleibt. Zusätzlich fordern die Forscher dazu auf, sämtliche CWP-Zugangsdaten konsequent zu ändern, da die Backdoor prinzipiell beliebige Befehle ausführen kann. Praktisch heißt das: Wer nur die Binärdatei austauscht, aber Credentials beibehält, riskiert einen schnellen Rückfall durch bereits persistente Zugriffswege. Schließlich raten sie dazu, den gesamten Server als kompromittiert zu behandeln und systematisch nach weiteren Bedrohungen zu suchen.
In der gleichen Analyse taucht noch eine zweite Schadsoftware auf: Ebury, ein OpenSSH-Backdoor- und Credential-Stealer, der seit mindestens 2009 aktiv gewesen sein soll. Die Forscher können allerdings nicht belegen, ob Ebury und „cwpdoor“ technisch oder operativ zusammenhängen, oder ob unterschiedliche Akteure beide Komponenten auf demselben System platziert haben. Unabhängig von der Beziehung liefert das eine klare Management-Lektion: Bei kompromittierten Hosting-Umgebungen sollte man nicht nur die unmittelbare Schadsoftware betrachten, sondern auch die Angriffsoberfläche rund um SSH, Authentifizierung und Log-Infrastruktur prüfen. Für Teams, die CWP oder ähnliche Panels betreiben, wird damit deutlich, wie wichtig schnelle Integritätsprüfungen, proaktive Asset-Inventarisierung der installierten Binärstände und eine verteilte Sicht auf Prozesse jenseits klassischer Web-Logs sind.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CWP-Backdoor „cwpdoor“: Linux-Server ohne Logs per Webaufruf kompromittiert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CWP-Backdoor „cwpdoor“: Linux-Server ohne Logs per Webaufruf kompromittiert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CWP-Backdoor „cwpdoor“: Linux-Server ohne Logs per Webaufruf kompromittiert« bei Google Deutschland suchen, bei Bing oder Google News!