Los hackers ocultan una puerta trasera de Linux en el servidor del panel de control web para ejecutar comandos sin dejar registros.

Investigadores del XLab de QiAnXin informaron esta semana que se ha descubierto una puerta trasera oculta en el servidor web que ejecuta Control Web Panel (CWP), un panel gratuito para administrar servidores de alojamiento Linux.

El servidor web comprometido ejecuta comandos que los atacantes envían mediante solicitudes web, las cuales nunca aparecen en sus registros de acceso. Su instalación requiere acceso de administrador, por lo que los atacantes deben controlar previamente el servidor.

Los investigadores, que denominaron a la puerta trasera cwpdoor, capturaron su instalador, un script de shell que simula una actualización de versión, el 29 de junio. El instalador solo admite dos versiones de ese servidor web: cwpsrv 1.15.10 y 1.24.0. Los investigadores aún desconocen cómo los atacantes obtienen el acceso de administrador que requiere el instalador.

El 30 de septiembre, se subió a VirusTotal, desde Brasil, un archivo que contenía una copia de la puerta trasera. Los investigadores afirman que esto indica que "ya existen víctimas reales". No proporcionan una cifra de servidores infectados.

La puerta trasera es el propio cwpsrv, reconstruido con código adicional, según descubrieron los investigadores en su análisis técnico. Se comporta como un programa normal hasta que llega una solicitud con una marca de tiempo y una firma válidas en encabezados personalizados cuyos nombres comienzan con X-Ngx-Integrity. Entonces ejecuta el comando incluido en la solicitud.

Cuando el instalador reemplaza el archivo cwpsrv, restablece las fechas del archivo a sus valores originales, por lo que las comprobaciones con ls y stat muestran que no ha sufrido cambios. Cuando los investigadores verificaron el archivo de la puerta trasera, no se detectó ninguna amenaza de las 63 registradas en VirusTotal.