Control Web Panel sunucularında kayıt bırakmayan cwpdoor arka kapısı bulundu

Güvenlik şirketi QiAnXin’in XLab ekibi, 5 Kasım’da yayımladığı raporda, Control Web Panel’in (CWP, eski adıyla CentOS Web Panel) kendi web sunucusu cwpsrv’nin arka kapılı bir sürümünü bulduğunu açıkladı. CWP, CentOS ve diğer Linux dağıtımları için ücretsiz ve açık kaynaklı bir sunucu yönetim paneli. cwpsrv ise Nginx tabanlı, panele özel olarak uyarlanmış web sunucusu. XLab’e göre saldırgan, cwpsrv’nin kaynak koduna kötü amaçlı kod ekleyip programı yeniden derlemiş. XLab bu arka kapıya cwpdoor adını verdi.

Arka kapının bulunması

XLab’e göre şirketin tehdit izleme sistemi 29 Haziran’da cwpsrv_update.sh adlı, güncelleme betiği gibi görünen bir betik yakaladı. Betik, cwpsrv’nin kötü amaçlı sürümünü 136.0.141.71 adresindeki bir sunucudan indirip sistemdeki dosyanın yerine koyuyor. 30 Eylül’de ise Brezilya’dan VirusTotal’a evidencia.tgz adlı bir arşiv yüklendi. Arşivde Ebury arka kapısına ait bir dosya ve cwpsrv’nin arka kapılı sürümü vardı. XLab’e göre arka kapılı dosya hiçbir güvenlik ürünü tarafından tanınmadı. Şirket iki zararlı arasındaki ilişkinin belirsiz olduğunu, bunların farklı saldırganlar tarafından aynı sunucuya yerleştirilmiş olabileceğini belirtiyor. XLab’e göre cwpdoor’un gerçek kurbanları var.

XLab’e göre şirketin Hunter tarama sistemi, son bir ayda internetten erişilebilen 340 binden fazla CWP örneği tespit etti. XLab, raporu yaygın güvenlik ürünleri arka kapıyı henüz tanımadığı için yayımladığını belirtiyor.

Arka kapının işleyişi

XLab’e göre kurulum betiği root yetkisi gerektiriyor ve yalnızca CWP’nin 1.15.10 ve 1.24.0 sürümlerinde çalışıyor. Betik meşru cwpsrv dosyasının yedeğini alıyor, hizmeti durdurup /usr/local/cwpsrv/bin/cwpsrv dosyasının üzerine yazıyor ve hizmeti yeniden başlatıyor. Başarısız olursa değişikliği geri alıyor. Betik dosyaların zaman damgalarını eski hâline getiriyor, oturumdaki komut geçmişini siliyor ve sonucu 136.0.141.71 adresine bildiriyor. The Hacker News’e göre bu yüzden ls ve stat komutları dosyayı değişmemiş gibi gösteriyor.

XLab’e göre arka kapılı cwpsrv normal çalışırken meşru cwpsrv gibi davranıyor. Özel hazırlanmış bir istek geldiğinde istekteki komutu çalıştırıyor ve o isteğin erişim kayıtlarına yazılmasını engelliyor.

XLab’e göre arka kapının hangi açık ya da yöntemle yayıldığı bilinmiyor. The Hacker News’e göre saldırganların arka kapıyı kurabilmek için sunucuyu önceden ele geçirmiş olması gerekiyor.

Önerilen önlemler

XLab şunları öneriyor:

• /usr/local/cwpsrv/bin klasöründe saldırganın oluşturduğu cwpsrv.prev ile başlayan ve tarih taşıyan meşru yedeği bulup kötü amaçlı cwpsrv dosyasının yerine koyun.
• CWP’yi son sürüme yükseltin ve ardından ss -axp | grep integrity komutunun sonuç vermediğini doğrulayın.
• Bütün panel kimlik bilgilerini hemen değiştirin ve sunucuyu ele geçirilmiş sayın.