Бэкдор CWPdoor маскировался под обновление Control Web Panel и скрывал root-доступ

Специалисты XLab компании QiAnXin изучили вредоносный компонент cwpsrv, который незаметно внедрялся на серверы через поддельный скрипт обновления. Бэкдор не использовал обратный шелл: он молча ждал HTTP- или HTTPS-запроса с тремя заголовками — временной меткой, зашифрованной командой и RSA-подписью. Без корректной подписи модуль вёл себя как обычный веб-сервер, поэтому пассивные сетевые сенсоры и антивирусы не фиксировали угрозу.

Механизм запускался скриптом cwpsrv_update.sh с правами root. Он загружал вредоносную сборку с сервера 136.0.141.71, подменял оригинальный исполняемый файл панели и тщательно заметал следы: удалял временные файлы и резервную копию, восстанавливал временные метки и стирал команды из истории оболочки. Встроенный в переработанный cwpsrv на базе Nginx бэкдор перехватывал контекст модуля журналирования, из-за чего не оставлял записей в логах доступа. Получив легитимный запрос, модуль расшифровывал команду алгоритмом AES-256-CBC, выполнял её в отдельном процессе и возвращал результат в зашифрованном HTTP-ответе. Допустимое расхождение времени составляло не более пяти минут, что ограничивало возможность воспроизведения атаки посторонними.

Первый артефакт зафиксирован 29 июня 2026 года. В конце сентября на платформу VirusTotal из Бразилии поступил архив с парой файлов: один идентифицировался как известный бэкдор Ebury, второй — как новый CWPdoor. Большинство антивирусных движков определяло Ebury, но пропускало CWPdoor. По данным поисковой платформы Hunter, за месяц в интернете доступно более 340 тысяч экземпляров Control Web Panel. Подтверждённые заражения запротоколированы 30 сентября, при этом связь между группировками, стоящими за Ebury и CWPdoor, не доказана. Способ получения первоначального доступа к серверам остаётся неизвестным.

Чем угроза опасна для российских компаний

Control Web Panel — распространённый инструмент для управления хостингом, который часто используют небольшие провайдеры, веб-студии и администраторы корпоративных серверов. Руткиты, маскирующиеся под легитимные обновления, особенно опасны в средах, где обновления выполняются без тщательной проверки целостности дистрибутива. Подмена модуля журналирования означает, что классический аудит логов не выявит ни факт взлома, ни последующую активность. Сервер-жертва может месяцами оставаться под невидимым контролем, а администраторы будут уверены, что панель работает штатно.

Как обнаружить и удалить CWPdoor

XLab рекомендует администраторам проверить серверы на признаки компрометации. Выполните поиск Unix-сокета ngx_http_integrity_helper командой ss -axp | grep integrity и проверьте исполняемый файл cwpsrv на наличие строк X-Ngx-Integrity. При обнаружении бэкдора восстановите чистый компонент панели, обновите CWP до актуальной версии и немедленно смените все учётные данные. Дополнительно проверьте сервер на другие угрозы: один архив содержал образцы и CWPdoor, и бэкдора Ebury, что сигнализирует о возможной комплексной компрометации.