CWPdoor backdoorea servidores Linux mediante una versión troyanizada de cwpsrv

El 5 de noviembre de 2026, investigadores de XLab, la división de ciberseguridad de QiAnXin Technology Group, alertaron de una campaña que distribuye CWPdoor contra servidores Linux con Control Web Panel (CWP). El malware se incorpora a una versión troyanizada de cwpsrv, el servidor web asociado al panel de administración.

CWPdoor permanece inactivo hasta recibir una petición especialmente construida. Los operadores activan la puerta trasera mediante cabeceras HTTP cifradas, entre ellas X-Ngx-Integrity-Data, junto con valores de marca temporal y firma RSA. El malware valida la firma y una ventana temporal de cinco minutos antes de descifrar y ejecutar los comandos a través de un proceso auxiliar. Las órdenes y sus resultados utilizan cifrado AES-256-CBC.

Según XLab, la infección comienza con un script que se presenta como un actualizador y sustituye el binario legítimo cwpsrv. El procedimiento afecta a las versiones 1.15.10 y 1.24.0, restaura las marcas temporales de archivos y directorios, elimina archivos temporales y borra el historial de comandos. Además, CWPdoor interfiere con el módulo de registro para ocultar las peticiones utilizadas para activar la puerta trasera. Los investigadores localizaron el malware el 29 de junio y observaron una muestra subida a VirusTotal el 30 de septiembre en un archivo que también incluía la puerta trasera Ebury.

XLab recomienda comprobar la presencia del socket Unix ngx_http_integrity_helper, de procesos auxiliares sospechosos de cwpsrv y de cadenas X-Ngx-Integrity en el binario del servidor. Si se confirma una intrusión, aconseja sustituir el binario comprometido por una copia legítima, actualizar a la versión más reciente, rotar las credenciales del panel e investigar el sistema en busca de malware adicional.

Fuente: BleepingComputer.