駭客利用假冒的CWP網頁伺服器程式，散布新型Linux後門程式CWPdoor

中國資安業者奇安信威脅研究團隊XLab於11月5日揭露新型Linux後門程式CWPdoor，利用被竄改的開源Linux網頁伺服器管理工具Control Web Panel（CWP）執行檔散布。研究人員於今年6月29日發現檔名為cwpsrv_update.sh的可疑指令碼，該指令碼會假借軟體更新，下載經竄改的惡意版本cwpsrv執行檔，取代CWP原有的cwpsrv程式，並利用多種手段來掩蓋其替換合法程式的行為，例如恢復檔案與目錄的時間戳記、刪除臨時檔案，以及清除指令歷史記錄等。

植入於惡意版本cwpsrv程式碼中的CWPdoor後門，並非獨立執行的惡意程式，平時不會表現出異常行為，只有收到帶有特定加密HTTP標頭的請求，並通過時間戳記及RSA簽章驗證後，才會解密攻擊指令，交由輔助程式執行，讓攻擊者遠端控制主機。此外，CWPdoor還會干擾伺服器記錄模組，隱藏觸發後門的請求。

XLab過去一個月偵測到全球逾34萬臺CWP主機執行個體暴露於網際網路，受到CWPdoor的潛在威脅。XLab另外還在9月30日發現，有使用者將包含CWPdoor的壓縮檔上傳至惡意程式掃描與威脅情報平臺VirusTotal，當時各家防毒引擎均未能偵測出其中的CWPdoor樣本，研究人員認為，這顯示此後門程式可能已有實際受害案例。