นักวิจัยจาก XLab ซึ่งเป็นทีมวิจัยด้านความปลอดภัยไซเบอร์ของ QiAnXin Technology Group ได้อธิบายว่า CWPdoor เป็น malware สำหรับ Linux ที่ถูกส่งผ่าน cwpsrv ซึ่งเป็น web server ที่อยู่เบื้องหลังอินเทอร์เฟซการจัดการ Control Web Panel (CWP)
CWP, ซึ่งเดิมรู้จักในชื่อ CentOS Web Panel, เป็นโซลูชันโฮสติ้งแบบ open-source คล้ายกับ cPanel และ Plesk ที่ช่วยให้ผู้ใช้จัดการเซิร์ฟเวอร์และบริการต่างๆ เช่น อีเมล DNS และฐานข้อมูล
สคริปต์นี้เข้ามาแทนที่ cwpsrv เวอร์ชัน 1.15.10 และ 1.24.0 โดยมีการดำเนินการหลายอย่างเพื่อซ่อนการเปลี่ยนแปลง เช่น การกู้คืน timestamp ของไฟล์และไดเรกทอรี การลบไฟล์ชั่วคราว และการล้างบันทึกคำสั่ง
ตัว backdoor จะตรวจสอบว่า timestamp อยู่ในช่วงห้านาที และยืนยันลายเซ็น RSA ก่อนที่จะถอดรหัสคำสั่งและส่งต่อไปยังโปรเซสเซอร์ช่วยเพื่อดำเนินการ
นักวิจัยแนะนำให้ผู้ดูแลระบบตรวจสอบ ngx_http_integrity_helper Unix socket, กระบวนการช่วยของ cwpsrv ที่น่าสงสัย และสตริง X-Ngx-Integrity ในไบนารีเซิร์ฟเวอร์ หากยืนยันว่าถูกบุกรุก ต้องเปลี่ยนไบนารีที่ถูกฝังไว้ด้วยสำเนาที่ถูกต้อง อัปเกรดเป็นเวอร์ชันล่าสุด และหมุนเวียนข้อมูลรับรองทั้งหมด
## ค้นหาภัยคุกคามทางอีเมลที่การป้องกันเดิมอาจมองข้าม
Adaptive Security ใช้ AI agents วิเคราะห์เจตนา บริบท และพฤติกรรมของอีเมล เพื่อค้นหา phishing, business email compromise และ invoice fraud
ศัพท์ที่ควรรู้
- CWP – คือโซลูชันการจัดการโฮสติ้งบนเว็บแบบ open-source ที่ใช้สำหรับดูแลเซิร์ฟเวอร์เว็บ
- cwpsrv – คือ web server ที่อยู่เบื้องหลังอินเทอร์เฟซการจัดการ Control Web Panel (CWP)
- malware – คือซอฟต์แวร์ประสงค์ร้ายที่ใช้ในการโจมตีระบบคอมพิวเตอร์
- Trojanized – คือการนำซอฟต์แวร์ที่เป็นอันตรายมาแฝงอยู่ในโปรแกรมที่ดูเหมือนปกติ
- RSA signature – คือการเข้ารหัสที่ใช้ในการยืนยันความถูกต้องของคำสั่งที่ถูกส่งไปยังเซิร์ฟเวอร์
ที่มา: bleepingcomputer.com