Atac cibernetic nou: serverele Linux compromiseate prin CWPdoor

O vulnerabilitate critică de securitate sau un incident major care implică infrastructura digitală poate bloca instantaneu activitatea unei companii, indiferent de domeniul de activitate. La clienții noștri din Arad vedem des o încredere oarbă în setările implicite ale serverelor, o capcană în care multe firme mici și mijlocii cad. Odată ce un sistem este expus pe internet fără un audit riguros, riscul unei breșe de securitate crește exponențial, afectând direct operațiunile de zi cu zi și încrederea clienților.

#Ce s-a întâmplat

La data de 5 noiembrie 2026, cercetătorii în securitate cibernetică de la XLab au publicat detalii despre o nouă amenințare cibernetică numită CWPdoor. Acest malware este distribuit printr-o versiune trojanizată a serverului web cwpsrv, utilizat în cadrul interfeței de management Control Web Panel (CWP), cunoscut anterior ca CentOS Web Panel. CWPdoor acționează ca un backdoor pasiv, rămânând latent pe sistemul compromis până când atacatorul trimite o cerere HTTP special construită, conținând un antet criptat (X-Ngx-Integrity-Data), o marcă temporală și o semnătură RSA.

Potrivit raportului XLab, peste 340.000 de instanțe CWP au fost expuse pe internet în ultima lună. Descoperit inițial pe 29 iunie, scriptul malițios înlocuiește fișierele binare legitime pentru versiunile 1.15.10 și 1.24.0 ale cwpsrv, luând măsuri pentru a șterge urmele: restaurează marcajele temporale ale fișierelor, șterge fișierele temporare și curăță istoricul comenzilor din consolă. De asemenea, malware-ul interceptează modulul de jurnale al serverului pentru a împiedica apariția cererii de declanșare în fișierele de acces. Într-o arhivă încărcată pe VirusTotal pe 30 septembrie, CWPdoor a fost asociat și cu vechiul botnet Ebury, fișierul suspicios înregistrând zero detecții la momentul respectiv, ceea ce confirmă existența unor victime reale în mediul cibernetic.

#Impact pentru firme

Pentru o companie mică sau mijlocie din România care își găzduiește propriile servicii sau aplicații pe servere Linux gestionate prin panouri web, un astfel de atac poate avea consecințe dezastruoase. Deoarece CWPdoor blochează scrierea în jurnale și își șterge urmele, administratorii nu vor observa intruziunea prin metode clasice. Pierderea controlului asupra serverului poate duce la compromiterea datelor clienților, întreruperea serviciilor de e-mail sau web și posibile sancțiuni severe pentru nerespectarea reglementărilor de securitate a datelor. Timpul pierdut cu recuperarea infrastructurii și eventualele daune de imagine sunt costuri pe care nicio afacere nu și le dorește.

#Recomandări concrete

În fața unor asemenea amenințări avansate, abordarea reactivă nu mai este suficientă. Echipa Activ.NET recomandă verificarea imediată a serverelor pentru a preveni sau a elimina riscurile legate de CWPdoor:

1. Verificați prezența socket-ului Unix numit ngx_http_integrity_helper, a proceselor helper cwpsrv suspecte și a șirurilor X-Ngx-Integrity din binarele serverului.
2. Dacă suspectați o compromitere, înlocuiți imediat binarul afectat cu o copie legitimă, actualizați panoul la cea mai recentă versiune și schimbați toate credențialele de acces.
3. Rulați un audit complet de securitate și folosiți servicii de administrare servere pentru a monitoriza anomaliile în timp real.

#Concluziile noastre

Securitatea cibernetică a unei companii nu se rezumă doar la instalarea unui sistem de operare, ci necesită vigilență constantă și actualizări riguroase. La Activ.NET, ne asigurăm că infrastructurile clienților noștri din Arad și din țară beneficiază de protecție proactivă împotriva amenințărilor tăcute de tip backdoor. Dacă aveți nevoie de un partener tehnic de încredere, suntem aici pentru a vă securiza mediul digital.

Inspirat din: BleepingComputer