Badacze z QiAnXin's XLab zidentyfikowali backdoora o nazwie cwpdoor, który infekuje serwery korzystające z darmowego panelu Control Web Panel (CWP) do zarządzania hostingiem Linux. Złośliwe oprogramowanie polega na modyfikacji pliku binarnego serwera cwpsrv, co pozwala atakującym na przesyłanie poleceń w specjalnych nagłówkach HTTP. Dzięki temu operacje te nie pojawiają się w standardowych logach dostępu, co utrudnia detekcję.
Instalacja backdoora wymaga uprawnień roota, co sugeruje, że atakujący muszą najpierw przejąć pełną kontrolę nad serwerem. Proces infekcji odbywa się poprzez złośliwy skrypt shell, który podszywa się pod aktualizację wersji serwera cwpsrv (wersje 1.15.10 oraz 1.24.0). Co istotne, instalator manipuluje datami plików, aby zmylić administratorów sprawdzających zmiany za pomocą poleceń ls lub stat.
W przypadku wykrycia infekcji zaleca się przywrócenie oryginalnego pliku cwpsrv z kopii zapasowej utworzonej przez instalator (jeśli jeszcze istnieje), aktualizację panelu do najnowszej wersji oraz całkowitą zmianę poświadczeń. Należy przyjąć, że cały serwer został skompromitowany. W analizowanych próbkach znaleziono również powiązania z malware Ebury, znanym z kradzieży poświadczeń OpenSSH.
