CWPdoor: malver ubačen u web server Control Web Panela
QiAnXin XLab je analizirao izmenjeni cwpsrv koji izvršava skrivene komande. Instalacija zahteva root pristup; početni način upada i broj zaraženih servera nisu poznati.
Šta se desilo?
QiAnXin XLab je 5. novembra 2026. objavio analizu CWPdoor malvera, ugrađenog u izmenjeni cwpsrv, web server Control Web Panela. Instalaciona skripta zahteva root ovlašćenja. Nije utvrđeno kako napadači prvobitno dolaze do njih.
Koga pogađa?
Analizirani uzorci ciljaju cwpsrv 1.15.10 i 1.24.0. Sam broj verzije ne dokazuje zarazu niti znači da svaki CWP server ima zadnja vrata. Broj žrtava nije utvrđen.
Kako se zaštititi?
- Proverite integritet cwpsrv datoteke poređenjem sa pouzdanom kopijom.
- Potražite soket ngx_http_integrity_helper i string X-Ngx-Integrity u binarnoj datoteci. Izostanak ovih tragova sam po sebi ne potvrđuje da je server čist.
- Kod potvrđene zaraze izolujte server i sačuvajte dokaze pre uklanjanja datoteka.
- Obnovite sistem iz pouzdanog izvora i istražite prvobitni upad. Ne oslanjajte se samo na zamenu jedne datoteke ili lokalnu rezervnu kopiju.
- Sa čistog uređaja zamenite izložene lozinke i ključeve i opozovite sesije.
- Ograničite pristup panelu i redovno primenjujte zvanična ažuriranja.
Tehnički detalji
Malver proverava vremenski pečat i RSA potpis posebnog HTTP zahteva, dešifruje komandu i prosleđuje je pomoćnom procesu. Taj zahtev izostavlja iz access loga, što ne znači da nema drugih tragova.
XLab je instalacionu skriptu zabeležio 29. juna, a arhivu sa CWPdoor i Ebury uzorcima 30. septembra 2026. Njihova međusobna povezanost nije potvrđena. Istraživanje ne utvrđuje konkretnu ranjivost za početni pristup niti njenu zakrpu.
Zašto je važno?
Panel može nastaviti normalno da radi i kada je njegova komponenta izmenjena. Sam pregled access loga zato nije dovoljan.
Preporuka Sajber Radara
Potvrđeno prisustvo CWPdoor tretirajte kao kompromitovanje celog servera. Oporavak treba da obuhvati i druge naloge, servise i podatke dostupne napadaču.