Il backdoor arriva dal server, anche senza pannello esposto
BleepingComputer riferisce che CWPdoor viene distribuito tramite una versione manomessa di cwpsrv, il server web usato da Control Web Panel sui sistemi Linux. La compromissione riguarda quindi il componente che sostiene il pannello, non soltanto un'interfaccia di gestione esposta.
Invece di entrare dal pannello, gli attaccanti distribuiscono un server web alterato: quando quel componente fidato viene eseguito, può installare il backdoor. Tenere il pannello fuori da Internet non basta a escludere l'infezione.
Per amministratori e hosting provider, il perimetro da valutare comprende anche i sistemi che eseguono cwpsrv, non solo quelli con il pannello raggiungibile dall'esterno. L'assenza di un pannello pubblico non equivale a un sistema integro: una verifica limitata all'esposizione può non rilevare server compromessi.
Hackers backdoor Linux servers using trojanized CWP web server
A new Linux malware called CWPdoor is being distributed through a trojanized version of cwpsrv, the web server behind the Control Web Panel (CWP) management interface.