Hackers backdoor Linux servers using trojanized CWP web server

Un nuevo có­di­go ma­li­cio­so para sis­te­mas Linux lla­ma­do CWP­door está sien­do pro­pa­ga­do me­dian­te una ver­sión mo­di­fi­ca­da del ser­vi­dor web cwpsrv, el cual forma parte de la in­ter­faz de ad­mi­nis­tra­ción Con­trol Web Panel. Este soft­wa­re es una he­rra­mien­ta de có­di­go abier­to para la ges­tión de ser­vi­do­res de alo­ja­mien­to web, in­clu­yen­do ser­vi­cios de bases de datos, co­rreo elec­tró­ni­co y DNS.

El pro­gra­ma ma­li­cio­so opera como una puer­ta tra­se­ra pa­si­va que per­ma­ne­ce inac­ti­va en el ser­vi­dor afec­ta­do hasta que el ata­can­te envía una pe­ti­ción ela­bo­ra­da es­pe­cí­fi­ca­men­te con ese pro­pó­si­to. Para lo­grar ope­rar sin ser de­tec­ta­do, el malwa­re em­plea fun­cio­nes de su­pre­sión de re­gis­tros y se ac­ti­va me­dian­te co­man­dos ci­fra­dos en­via­dos a tra­vés de en­ca­be­za­dos HTTP es­pe­cia­les pro­te­gi­dos con ci­fra­do y fir­mas di­gi­ta­les.

Tras iden­ti­fi­car la ame­na­za, los es­pe­cia­lis­tas su­gie­ren a los ad­mi­nis­tra­do­res re­vi­sar la pre­sen­cia de cier­tos pro­ce­sos y ar­chi­vos en el sis­te­ma bi­na­rio del ser­vi­dor para ve­ri­fi­car si han sido vul­ne­ra­dos. En caso de con­fir­mar­se una in­fec­ción, se acon­se­ja sus­ti­tuir el ar­chi­vo com­pro­me­ti­do por una ver­sión le­gí­ti­ma, ac­tua­li­zar el soft­wa­re, cam­biar todas las cre­den­cia­les y bus­car po­si­bles pro­gra­mas ma­li­cio­sos adi­cio­na­les.