Aufgefallen war die Kampagne am 29. Juni, als die Forscher ein Skript abfingen, das sich als Aktualisierungswerkzeug ausgab und die legitime cwpsrv-Binärdatei durch eine manipulierte Version ersetzte. Betroffen sind dabei die cwpsrv-Versionen 1.15.10 und 1.24.0. Das Skript verwischt die Spuren des Austauschs: Es stellt die Zeitstempel von Dateien und Verzeichnissen wieder her, löscht temporäre Dateien und bereinigt die Kommandozeilen-Historie.
Die Hintertür bleibt auf dem kompromittierten System untätig, bis die Betreiber eine speziell präparierte Anfrage senden. Die auszuführenden Befehle stecken verschlüsselt im HTTP-Header X-Ngx-Integrity-Data, begleitet von X-Ngx-Integrity-Time für den Zeitstempel und X-Ngx-Integrity-Sig für die RSA-Signatur. Befehle und deren Ausgaben werden mit AES-256-CBC verschlüsselt. Vor der Ausführung prüft die Backdoor, ob der Zeitstempel in einem Fünf-Minuten-Fenster liegt, und verifiziert die RSA-Signatur; erst danach entschlüsselt sie den Befehl und übergibt ihn an einen Hilfsprozess.
„Ändert man entweder den Zeitstempel oder den Chiffretext für sich allein, wird die Signatur ungültig", erklärt XLab. „Durch die Verknüpfung der drei Felder und das erzwungene Zeitfenster von ±300 Sekunden bietet der Mechanismus Schutz vor Wiedereinspielung sowie eine Zugriffskontrolle." Zusätzlich greift die Schadsoftware in das Protokollmodul des Servers ein, damit die auslösende Anfrage nicht in den Zugriffsprotokollen auftaucht.
Nach dem Fund des ursprünglichen Infektionsskripts beobachteten die Forscher am 30. September einen Upload von CWPdoor zu VirusTotal – in einem Archiv, das auch die Ebury-Backdoor enthielt. Die darin enthaltene manipulierte Datei cwpsrv.suspeito wurde von keinem einzigen Erkennungsmodul als schädlich eingestuft. „Das zeigt, dass die Kampagne nicht bloß experimentell war: Es gibt bereits reale Opfer", so die Forscher. Welcher Zusammenhang zwischen Ebury und CWPdoor besteht, ist weiterhin unklar. Ebury ist eine seit mindestens 2009 aktive Linux-Backdoor- und Zugangsdaten-Diebstahl-Operation; einem Bericht des Sicherheitsunternehmens ESET vom Mai 2024 zufolge infizierte die Schadsoftware seit ihrem Auftauchen nahezu 400.000 Server.
Administratoren empfiehlt XLab, gezielt nach folgenden Spuren zu suchen:
- dem Unix-Socket ngx_http_integrity_helper
- verdächtigen cwpsrv-Hilfsprozessen
- Zeichenketten mit X-Ngx-Integrity in der Server-Binärdatei
Bestätigt sich eine Kompromittierung, sollte die manipulierte Binärdatei durch eine legitime Kopie ersetzt, auf die aktuelle Version aktualisiert, sämtliche Zugangsdaten des Control Panels gewechselt und das System auf weitere Schadsoftware untersucht werden.