CWPdoor ersetzt den CWP-Webserver cwpsrv auf Linux-Systemen
Forscher von XLab, der Cybersicherheitsabteilung der QiAnXin Technology Group, entdeckten am 29. Juni die Linux-Backdoor CWPdoor. BleepingComputer berichtete am 5. November 2026, dass die Schadsoftware über eine manipulierte Version von cwpsrv verteilt wird, dem Webserver hinter der Verwaltungsoberfläche von Control Web Panel (CWP). Ein als Aktualisierung getarntes Skript ersetzte dabei die legitime Binärdatei.
Nach Angaben von XLab tauscht das Skript die cwpsrv-Versionen 1.15.10 und 1.24.0 aus. Es stellt Datei- und Verzeichniszeitstempel wieder her, löscht temporäre Dateien und entfernt den Befehlsverlaufs-Log. CWPdoor bleibt zunächst inaktiv und reagiert erst auf eine speziell präparierte Anfrage des Angreifers. XLab zufolge waren im vergangenen Monat mehr als 340.000 CWP-Instanzen öffentlich erreichbar. CWP ist eine Open-Source-Verwaltung für Webserver und Dienste wie E-Mail, DNS und Datenbanken.
Die Befehle gelangen laut XLab in verschlüsselten HTTP-Headern an die Backdoor. X-Ngx-Integrity-Data enthält den Befehl, X-Ngx-Integrity-Time den Zeitstempel und X-Ngx-Integrity-Sig die RSA-Signatur. CWPdoor akzeptiert die Anfrage nur innerhalb eines Fünf-Minuten-Fensters und nach erfolgreicher Prüfung der Signatur. Danach entschlüsselt die Backdoor den Befehl und übergibt ihn einem Hilfsprozess zur Ausführung. Befehle und Ausgaben verschlüsselt sie nach Angaben der Forscher mit AES-256-CBC. Außerdem verhindert die Schadsoftware, dass die auslösende Anfrage im Zugriffsprotokoll erscheint.
Am 30. September entdeckten die Forscher CWPdoor laut BleepingComputer in einem auf VirusTotal hochgeladenen Archiv. Das Archiv enthielt auch die Ebury-Backdoor. Die darin enthaltene manipulierte Datei cwpsrv.suspeito hatte zum Zeitpunkt der Untersuchung keine Erkennungen. XLab wertete dies als Hinweis darauf, dass bereits echte Opfer betroffen sind. Die Forscher erklärten zugleich, die Verbindung zwischen Ebury und CWPdoor sei weiterhin unklar.
XLab empfiehlt Administratoren, nach dem Unix-Socket ngx_http_integrity_helper, verdächtigen cwpsrv-Hilfsprozessen und X-Ngx-Integrity-Zeichenfolgen in der Server-Binärdatei zu suchen. Bei einem bestätigten Befall sollten sie nach Angaben der Forscher die manipulierte Binärdatei durch eine legitime Kopie ersetzen, auf die neueste Version aktualisieren, alle Zugangsdaten des Control Panels ändern und den Host auf weitere Schadsoftware untersuchen.