Überprüfen Sie CWP-Instanzen auf Indikatoren wie den Unix-Socket `ngx_http_integrity_helper` und verdächtige `cwpsrv`-Helferprozesse.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
- Lieferketten-Kompromittierung — Thema: trojanized | Ereignisbeleg: victim, victims+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Hackers backdoor Linux servers using trojanized CWP web server
Hacker verbreiten die Linux-Malware „CWPdoor“ über eine manipulierte Version des cwpsrv-Webservers, der hinter der Control Web Panel (CWP)-Oberfläche steckt. Über 340.000 CWP-Instanzen waren im letzten Monat öffentlich zugänglich, was Administratoren dazu veranlasst, ihre Systeme auf verdächtige Prozesse und Strings zu überprüfen. Die Malware agiert als getarnte Backdoor, die erst bei einer speziell präparierten Anfrage aktiv wird und Befehle ausführt.
SecBoard-Einordnung
Realistisch schlimmster Fall: Unautorisierte Ausführung von Befehlen auf dem Server, was zur vollständigen Kompromittierung des Systems, Datenexfiltration oder der Installation weiterer Malware führen könnte.
Empfehlung: Überprüfen Sie CWP-Instanzen auf Indikatoren wie den Unix-Socket `ngx_http_integrity_helper` und verdächtige `cwpsrv`-Helferprozesse. Isolieren und patchen Sie betroffene Systeme umgehend.
Im erfassten Bestand
- ▸3. erfasste Meldung zu Ebury innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Organisationen, die Control Web Panel (CWP) mit dem cwpsrv-Webserver einsetzen und deren Instanzen öffentlich zugänglich sind.
Prüfen
3- ▸Überprüfen Sie das Dateisystem auf die Existenz des Unix-Sockets `ngx_http_integrity_helper`.
- ▸Überwachen Sie laufende Prozesse auf verdächtige `cwpsrv`-Helferprozesse, die nicht zur normalen Funktion gehören.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Integritätsprüfung der cwpsrv-Binärdateien durch, um Manipulationen zu erkennen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, wie die cwpsrv-Webserver genau manipuliert wurden (z.B. durch Kompromittierung der Lieferkette oder direkte Exploits).
- ▸Die genauen Befehle oder Arten von Befehlen, die die Backdoor ausführen kann, sind nicht spezifiziert.
- ▸Die spezifischen Angreifergruppen oder deren Motivationen sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Die Malware agiert als getarnte Backdoor, die erst bei einer speziell präparierten Anfrage aktiv wird und Befehle ausführt.“
„Hacker verbreiten die Linux-Malware „CWPdoor“ über eine manipulierte Version des cwpsrv-Webservers, der hinter der Control Web Panel (CWP)-Oberfläche steckt.“
„Die Malware agiert als getarnte Backdoor, die erst bei einer speziell präparierten Anfrage aktiv wird und Befehle ausführt.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextcPGuard Update Channel Hijacked to Backdoor Linux Servers and Collect Password Hashes
- BleepingComputerKontextHackers backdoor Linux servers using trojanized CWP web server
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap