CWPdoor: malware compromete servidores Linux e esconde comandos dos invasores
Uma versão adulterada do servidor web usado pelo Control Web Panel pode dar a invasores a capacidade de executar comandos remotamente em máquinas Linux sem deixar registros nos logs convencionais. A ameaça, chamada CWPdoor, foi identificada por pesquisadores da XLab, divisão de segurança da empresa QiAnXin, e foi incorporada ao componente responsável por atender às solicitações da interface administrativa.
O Control Web Panel, conhecido anteriormente como CentOS Web Panel, é utilizado por empresas de hospedagem e administradores para gerenciar sites, bancos de dados, DNS, e-mail e outros serviços. Um de seus componentes centrais é o cwpsrv, baseado no servidor web Nginx. Foi nesse programa que os atacantes inseriram a porta dos fundos – ou backdoor – que possibilita o acesso clandestino.
O malware mantém a aparência e o funcionamento de um servidor web legítimo. Em vez de abrir uma conexão periódica com uma infraestrutura externa para receber instruções, como fazem muitas ameaças, ele aguarda uma solicitação HTTP ou HTTPS especialmente construída. Quando reconhece o padrão esperado, pode aceitar comandos dos invasores. Essas requisições são omitidas dos registros de acesso usuais, o que dificulta encontrá-las durante uma auditoria comum.
A plataforma de inteligência Hunter, da XLab, identificou mais de 340 mil instalações do CWP expostas à internet no período examinado. Esse total indica a dimensão da superfície potencial de ataque, mas não significa que todas essas máquinas estejam infectadas. Os pesquisadores encontraram amostras maliciosas em circulação, porém não apresentaram uma estimativa do número de servidores efetivamente comprometidos.
Como o CWPdoor é instalado
Os primeiros sinais analisados pela equipe apareceram em 29 de junho de 2026, quando foi capturado um arquivo chamado `cwpsrv_update.sh`. O script se apresentava como uma atualização, mas sua função era substituir o executável original do painel por uma cópia modificada com a backdoor.
A investigação encontrou duas variantes do malware, preparadas para trocar executáveis associados às versões 1.15.10 e 1.24.0 do cwpsrv. Para realizar a substituição, o script precisava de privilégios de root. Ele verificava a versão instalada, interrompia o serviço por um período curto, instalava o arquivo adulterado e tentava iniciar o servidor novamente. Se o serviço não voltasse a funcionar, o próprio processo buscava desfazer a alteração.
Esse mecanismo sugere que os responsáveis queriam manter o painel disponível e evitar interrupções que pudessem chamar a atenção dos administradores. Um serviço que continua operando normalmente pode permanecer despercebido por mais tempo do que um painel que deixa de responder após uma atualização suspeita.
O script também tentava apagar vestígios da operação. Entre as ações identificadas estão a restauração das datas de acesso e modificação dos arquivos e diretórios envolvidos, a remoção de arquivos temporários e a exclusão de registros do histórico de comandos. Assim, verificações superficiais – como consultar datas com ferramentas comuns ou procurar comandos recentes – podem não revelar a troca do executável.
Até o momento descrito na investigação, não havia sido determinado como os invasores obtiveram o acesso inicial com privilégios elevados. Portanto, a descoberta não comprova que uma vulnerabilidade específica do Control Web Panel tenha sido explorada. Ela demonstra que, após conquistar acesso suficiente ao sistema, um atacante pode adulterar o componente que atende à interface administrativa.
Por que o comprometimento é relevante
Um servidor de painel pode concentrar o controle de diversos recursos de uma empresa. Se um invasor consegue executar comandos nesse ambiente, o risco não se limita à interface do CWP: pode envolver sites, bancos de dados, contas de e-mail, configurações de DNS e outros serviços hospedados na mesma máquina.
Além disso, a ausência de registros convencionais reduz a eficácia de investigações baseadas apenas nos logs HTTP. A operação normal do servidor e a tentativa de restaurar datas e apagar rastros podem atrasar a identificação da intrusão. Isso não torna a detecção impossível, mas exige que a análise vá além de uma conferência rápida dos registros de acesso.
Sinais de alerta e medidas de resposta
Administradores devem verificar se o executável do cwpsrv corresponde a uma versão legítima e íntegra, comparando-o com uma cópia confiável obtida por canais oficiais. Também é importante procurar arquivos de atualização inesperados, mudanças nos serviços e processos que tenham sido executados com privilégios de root sem autorização.
A investigação não deve se restringir ao Control Web Panel. Uma alteração maliciosa no servidor pode ser acompanhada por outras ações, como a criação de contas, mudanças em tarefas agendadas, instalação de ferramentas adicionais ou acesso indevido a credenciais. Por isso, vale revisar os registros de autenticação, os serviços em execução e as configurações do sistema, levando em conta que parte dos vestígios pode ter sido apagada ou manipulada.
Se houver suspeita de infecção, a equipe deve preservar evidências antes de reinstalar ou modificar arquivos. O servidor afetado precisa ser isolado de forma controlada, e as credenciais administrativas devem ser trocadas a partir de um equipamento confiável. Também é recomendável avaliar a exposição de senhas, chaves e tokens armazenados na máquina e verificar se outros sistemas acessíveis pelo servidor foram atingidos.
Manter o painel e o sistema operacional atualizados reduz riscos, mas não substitui controles de acesso. Restringir a interface administrativa a endereços confiáveis, usar autenticação forte e evitar a exposição desnecessária do painel à internet diminui a superfície disponível para ataques. Monitoramento de integridade dos arquivos e alertas sobre alterações em serviços privilegiados também podem ajudar a identificar modificações que os logs tradicionais não mostram.
A principal conclusão da análise é que o CWPdoor transforma um componente legítimo de administração em um canal oculto de execução de comandos. Como ainda não se sabe qual foi o método de acesso inicial nem quantos sistemas foram efetivamente afetados, organizações que utilizam o CWP devem tratar a integridade do cwpsrv como prioridade e investigar qualquer alteração inesperada, sem presumir que um funcionamento normal seja prova de segurança.