Control Web Panel Sunucusunda Gizlenmiş Linux Arka Kapısı Tespit Edildi

Control Web Panel Sunucusunda Gizlenmiş Linux Arka Kapısı Tespit Edildi

QiAnXin’in XLab araştırmacıları, Linux barındırma sunucularını yönetmek için kullanılan ücretsiz bir panel olan Control Web Panel (CWP) çalıştıran web sunucusunda gizlenmiş bir arka kapı keşfettiklerini duyurdu. Bu arka kapı, saldırganların web istekleri aracılığıyla komutlar yürütmesine olanak tanıyor ve bu istekler erişim günlüklerinde görünmüyor. Kurulumu için kök erişimi gerektiğinden, saldırganların sunucu üzerinde zaten kontrol sahibi olması gerekiyor.

Araştırmacılar, “cwpdoor” adını verdikleri bu arka kapının yükleyicisini, bir sürüm güncellemesi gibi görünen bir shell betiği olarak 29 Haziran’da ele geçirdi. Yükleyici, cwpsrv 1.15.10 ve 1.24.0 olmak üzere web sunucusunun yalnızca iki sürümünü hedef alıyor. Araştırmacılar, saldırganların yükleyicinin ihtiyaç duyduğu kök erişimini nasıl elde ettiklerini henüz belirleyemedi.

30 Eylül’de, arka kapının bir kopyasını içeren bir arşivin Brezilya’dan VirusTotal’a yüklendiği tespit edildi. Araştırmacılar, bu durumun “gerçek kurbanların zaten var olduğunu” gösterdiğini belirtiyor ancak enfekte sunucu sayısına dair bilgi vermiyorlar.

Araştırmacılar, teknik analizlerinde arka kapının, ek kodlarla yeniden derlenmiş cwpsrv’nin kendisi olduğunu buldu. Program, X-Ngx-Integrity ile başlayan özel başlıklarda geçerli bir zaman damgası ve imza içeren bir istek gelene kadar normal bir şekilde çalışıyor. Ardından, istekte taşınan komutu yürütüyor.

Yükleyici, cwpsrv dosyasını değiştirdiğinde, dosyanın tarihlerini orijinal değerlerine geri getiriyor, böylece ls ve stat komutlarıyla yapılan kontrollerde dosya değişmemiş gibi görünüyor. Araştırmacıların kontrol ettiği sırada, arka kapı dosyası VirusTotal’da 63 taramadan sıfır tespit almıştı.

Bir Sunucuyu Arka Kapı İçin Kontrol Etme

XLab, üç kontrol yöntemi sunuyor:

• Soket: ss -axp | grep integrity komutunu çalıştırın. Arka kapının kullandığı Unix soketi olan ngx_http_integrity_integrity_helper adını içeren bir sonuç, enfeksiyon belirtisidir.
• İşlem: ps aux | grep cwpsrv komutunu çalıştırın ve cwpsrv tarafından başlatılan beklenmedik yardımcı süreçleri arayın.
• Dosya: strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-Integrity komutunu çalıştırın ve arka kapının başlık adlarını arayın.

Araştırmacıların örneğinde, soket kontrolü, açık port listesinin normal göründüğü bir sunucuda arka kapıyı tespit etti.

Araştırmacılar şu göstergeleri yayınladı:

• MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 (yükleyici betiği, cwpsrv_update.sh)
• MD5: 965aea67fb40de1bab5169ada993349f (arka kapılı cwpsrv 1.15.10)
• MD5: d3f4e95113d49ab3991b45e457bda75b (arka kapılı cwpsrv 1.24.0)
• IP: 136.0.141[.]71 (indirme sunucusu)
• URL: https://136.0.141[.]71/static/cwpsrv_update.sh
• URL: https://136.0.141[.]71/static/cwpsrv_1.15.10
• URL: https://136.0.141[.]71/static/cwpsrv_1.24.0

Enfekte Bir Sunucuyu Temizleme

Bir sunucu enfekte olmuşsa, araştırmacılar üç adım öneriyor:

1. Yükleyicinin /usr/local/cwpsrv/bin dizininde oluşturduğu, cwpsrv.prev- ile başlayıp tarih ve saatle biten yedekten orijinal cwpsrv’yi geri yükleyin. Araştırmacıların yükleyici açıklamasına göre, başarılı bir takas işleminden sonra “geçici dosyaları ve yedeği” sildiği için bu kopya eksik olabilir.
2. En son sürüme yükseltin ve ardından ss -axp | grep integrity komutunun hiçbir sonuç döndürmediğini doğrulayın.
3. Tüm kontrol paneli kimlik bilgilerini değiştirin, çünkü arka kapı herhangi bir komutu çalıştırabilir. Tüm sunucuyu tehlikeye atılmış olarak kabul edin ve diğer tehditlere karşı kontrol edin.

Brezilya’dan yüklenen arşivde ayrıca, en az 2009’dan beri aktif olan bir OpenSSH arka kapısı ve kimlik bilgisi hırsızı olan Ebury kötü amaçlı yazılımı da bulunuyordu. Araştırmacılar, ikisi arasında bir bağlantı olup olmadığını bilmiyor ve farklı saldırganların bunları aynı sunucuya yerleştirmiş olabileceğini belirtiyor.