資安業者揭露Linux後門CWPdoor，攻擊者假借CWP更新替換執行檔遠端控管

中國資安業者奇安信威脅研究團隊XLab於11月5日發表研究，指出全球有逾34萬個開源Linux網頁伺服器管理工具Control Web Panel（CWP）主機實例暴露於網際網路，面臨攻擊風險，並揭露名為CWPdoor的新型後門程式。研究人員於今年6月29日偵測到檔名為cwpsrv_update.sh的可疑指令碼，該指令碼假借軟體更新名義，下載經過竄改的惡意cwpsrv執行檔替換CWP原有程式，並透過恢復檔案與目錄時間戳記、刪除暫存檔及清除指令歷史記錄等手段掩蓋替換行為。 CWPdoor後門並非獨立執行的惡意程式，平時不表現出異常行為。其運作依賴接收帶有特定加密HTTP標頭的請求，在通過時間戳記與RSA簽章驗證後才解密攻擊指令，交由輔助程式執行以供攻擊者遠端控制主機，同時還會干擾伺服器記錄模組以隱藏後門請求。此外，XLab於9月30日發現有包含CWPdoor的壓縮檔被上傳至VirusTotal平台，當時各防毒引擎皆未能檢出，研究人員研判該後門程式可能已有實際受害案例。

值得帶走的重點

• 攻擊者透過cwpsrv_update.sh指令碼假借軟體更新，下載遭竄改的cwpsrv執行檔取代原有程式，並抹除指令歷史與暫存檔以匿蹤。
• CWPdoor後門平時不獨立運作，需通過帶有特定加密HTTP標頭、時間戳記與RSA簽章驗證的請求才會解密執行遠端控制指令，並干擾伺服器日誌。
• 研究團隊指出全球逾34萬台CWP主機實例暴露於網際網路，且9月30日上傳至VirusTotal的樣本當時各家防毒引擎均未能偵測。