Pesquisadores descobriram uma versão adulterada do servidor web utilizado pelo Control Web Panel que permite executar comandos remotamente sem registrar as requisições maliciosas nos logs convencionais.
Uma investigação conduzida pela XLab, divisão de pesquisa em segurança da QiAnXin, identificou um malware capaz de manter acesso clandestino a servidores Linux sem provocar alterações perceptíveis no funcionamento dos serviços. Batizado de CWPdoor, o código malicioso foi incorporado ao servidor web utilizado pelo Control Web Panel (CWP), ferramenta de administração conhecida entre empresas de hospedagem e profissionais responsáveis pela manutenção de servidores.
A descoberta, divulgada em 5 de novembro, apresenta uma característica preocupante: o componente adulterado continua funcionando como um servidor web legítimo, mas passa a reconhecer requisições especiais que permitem aos invasores executar comandos remotamente. Essas requisições são deliberadamente excluídas dos registros de acesso, dificultando a identificação do comprometimento por ferramentas de monitoramento e procedimentos tradicionais de auditoria.
O Control Web Panel, anteriormente conhecido como CentOS Web Panel, oferece uma interface para administrar sites, bancos de dados, DNS, serviços de e-mail e outros recursos de servidores Linux. Seu funcionamento depende de um componente chamado cwpsrv, baseado no Nginx, responsável por atender às requisições da interface administrativa. Foi justamente esse componente que os atacantes modificaram.
Segundo a XLab, sua plataforma de inteligência Hunter identificou mais de 340 mil instâncias do CWP expostas à Internet durante o período analisado. O número dimensiona a superfície potencial de ataque, mas não representa a quantidade de servidores comprometidos. Os pesquisadores confirmaram a existência de amostras maliciosas em circulação, embora ainda não tenham divulgado uma estimativa do alcance da campanha.
A investigação revelou uma atualização falsa e um servidor web adulterado
Os primeiros indícios surgiram em 29 de junho de 2026, quando os sistemas de monitoramento da XLab capturaram um script denominado cwpsrv_update.sh. O arquivo se apresentava como uma rotina de atualização, mas havia sido preparado para substituir o executável original do CWP por uma versão modificada contendo uma porta de acesso clandestina, conhecida tecnicamente como backdoor.
A análise encontrou duas variantes, desenvolvidas para substituir executáveis correspondentes às versões 1.15.10 e 1.24.0 do cwpsrv. O procedimento exigia privilégios de root e verificava a versão instalada antes de realizar a troca. Em seguida, interrompia temporariamente o serviço, instalava o arquivo adulterado e reiniciava o servidor. Caso o funcionamento não fosse restabelecido, o próprio script tentava reverter a alteração.
Esse cuidado revela uma preocupação dos invasores com a continuidade operacional do ambiente. Uma interrupção inesperada no painel administrativo poderia chamar a atenção dos responsáveis pelo servidor, enquanto um componente que permanece funcionando normalmente tende a despertar menos suspeitas.
O script também restaurava as datas originais de acesso e modificação dos arquivos e diretórios envolvidos, removia arquivos temporários e apagava entradas do histórico de comandos. Dessa maneira, uma inspeção superficial baseada em ferramentas como ls ou stat poderia mostrar um executável aparentemente antigo e sem alterações recentes, mesmo depois de sua substituição.
A XLab ainda não conseguiu determinar como os atacantes obtiveram o acesso inicial necessário para executar esse procedimento com privilégios elevados. Essa distinção é relevante porque a investigação não comprova a exploração de uma vulnerabilidade específica do Control Web Panel. O que foi demonstrado é a capacidade de adulterar um componente administrativo depois de conseguir acesso suficiente ao sistema.
Uma vez instalado, o CWPdoor permanece praticamente inativo até receber uma requisição HTTP ou HTTPS especialmente preparada. Diferentemente de muitas famílias de malware que estabelecem conexões periódicas com servidores de comando e controle, ele utiliza um mecanismo passivo, aguardando que o próprio invasor inicie a comunicação.
O acionamento depende de três cabeçalhos HTTP: X-Ngx-Integrity-Time, X-Ngx-Integrity-Data e X-Ngx-Integrity-Sig. Eles transportam uma referência temporal, o comando criptografado e uma assinatura digital. O malware verifica a assinatura RSA, confere se o horário informado está dentro de uma janela de aproximadamente cinco minutos e, somente depois dessas validações, encaminha a instrução para execução por um processo auxiliar.
Os comandos e seus resultados são protegidos com AES-256-CBC. A assinatura digital impede que terceiros modifiquem livremente os dados da requisição e acionem a backdoor sem possuir os elementos necessários. O mecanismo também dificulta a reprodução de comandos capturados anteriormente.
Mas a parte mais sensível da implementação está na manipulação dos registros de acesso. O código introduzido no cwpsrv interfere no processamento interno das requisições para impedir que aquelas utilizadas pelos invasores sejam registradas pelo módulo de logging do servidor.
O resultado é um canal de execução remota que pode operar sem deixar os rastros normalmente esperados nos logs HTTP do painel. Isso não significa que toda atividade do invasor se torne invisível. Alterações em arquivos, processos, conexões e outros eventos do sistema ainda podem produzir evidências. O problema é que uma das fontes mais utilizadas para reconstruir acessos ao serviço foi deliberadamente comprometida.
A investigação ganhou outro elemento em 30 de setembro, quando um arquivo compactado denominado evidencia.tgz foi enviado ao VirusTotal a partir do Brasil. O material continha uma amostra do CWPdoor e um arquivo associado ao Ebury, malware conhecido por comprometer servidores Linux e capturar credenciais.
Na ocasião, a amostra adulterada do cwpsrv não havia sido identificada pelos mecanismos antivírus consultados, enquanto o componente associado ao Ebury já era reconhecido por diversos fornecedores. Para os pesquisadores, o material reforça a avaliação de que o CWPdoor estava sendo utilizado fora de um ambiente experimental.
A presença dos dois malwares no mesmo arquivo, entretanto, não permite concluir que sejam operados pelo mesmo grupo criminoso. A XLab considera possível que tenham sido instalados por atacantes diferentes. Também não existem evidências suficientes para relacionar a operação ao Brasil apenas porque o arquivo foi submetido ao VirusTotal a partir do país.
O comprometimento de um painel administrativo pode atingir vários serviços da empresa
A adulteração de um servidor web dedicado à administração apresenta consequências que dependem diretamente das permissões disponíveis no sistema comprometido. Em uma infraestrutura de hospedagem, o painel pode concentrar operações sobre aplicações, contas de usuários, bancos de dados, serviços de e-mail e configurações de rede. A execução de comandos com privilégios elevados nesse ambiente pode permitir acesso a informações sensíveis e facilitar a instalação de outros componentes maliciosos.
Considere um servidor que hospeda o site institucional de uma empresa, um sistema interno acessível pela Internet e os bancos de dados utilizados por essas aplicações. Mesmo que cada sistema esteja atualizado e protegido por controles próprios, a adulteração de um componente administrativo com permissões suficientes pode oferecer ao invasor um caminho alternativo para alcançar arquivos, credenciais e configurações que normalmente não estariam expostos pela aplicação.
Em provedores de hospedagem compartilhada, o problema pode ser ainda mais amplo. Dependendo da arquitetura e do isolamento entre clientes, o comprometimento de um servidor administrativo pode colocar diversos ambientes sob risco simultaneamente. A extensão real dos danos dependerá dos privilégios obtidos, da segmentação existente e das ações executadas pelo invasor.
Há também uma dificuldade importante para a resposta a incidentes. Quando o próprio serviço responsável pelo acesso administrativo foi modificado para ocultar determinadas requisições, os registros produzidos por ele deixam de oferecer uma visão completa das atividades realizadas. Uma investigação limitada aos logs HTTP pode concluir equivocadamente que não houve acessos suspeitos.
Para empresas que contratam hospedagem gerenciada, a situação exige atenção à responsabilidade do provedor pela integridade da infraestrutura. A proteção de uma aplicação depende também dos sistemas operacionais, serviços administrativos e mecanismos de gerenciamento utilizados para mantê-la em funcionamento. Um ambiente pode apresentar bons resultados em verificações de vulnerabilidades da aplicação e, ainda assim, estar comprometido em uma camada inferior.
A XLab divulgou indicadores que podem auxiliar os administradores na identificação do CWPdoor. Um deles é o socket Unix ngx_http_integrity_helper, utilizado na comunicação entre o servidor adulterado e o processo responsável pela execução dos comandos. Sua presença pode ser investigada com:
ss -axp | grep integrityTambém é recomendável examinar os processos associados ao cwpsrv e procurar referências aos cabeçalhos utilizados pelo malware no próprio executável:
ps aux | grep cwpsrv
strings /usr/local/cwpsrv/bin/cwpsrv | grep X-Ngx-IntegrityEssas verificações são úteis para uma triagem inicial, mas não substituem uma análise de integridade. A ausência dos indicadores conhecidos não garante que o servidor esteja seguro, especialmente porque outras variantes podem utilizar mecanismos diferentes.
Os pesquisadores identificaram ainda o endereço 136.0.141[.]71 como parte da infraestrutura utilizada para distribuir o script e os executáveis adulterados. Esse indicador pode ser utilizado na investigação de registros históricos de rede, desde que seja considerado em conjunto com outras evidências.
Nos ambientes em que houver suspeita de comprometimento, a investigação deve começar pela preservação dos arquivos e registros relevantes. A comparação do executável instalado com uma versão legítima obtida de fonte confiável, a análise dos processos ativos e a verificação de alterações em arquivos privilegiados ajudam a determinar se houve adulteração.
Quando a infecção for confirmada, a XLab recomenda substituir o componente comprometido, atualizar o Control Web Panel e trocar as credenciais administrativas. Como a backdoor permite executar comandos arbitrários, também é necessário investigar a possível instalação de outros malwares e a exposição de informações armazenadas no servidor.
Dependendo da extensão do comprometimento, a reconstrução do ambiente a partir de uma imagem confiável pode ser mais segura do que simplesmente substituir o executável adulterado. Credenciais, chaves e outros segredos potencialmente acessíveis ao invasor devem ser avaliados para revogação ou substituição. A investigação também precisa considerar como o atacante conseguiu obter os privilégios necessários para instalar o malware, já que esse caminho inicial permanece desconhecido.
Para reduzir a exposição, interfaces administrativas como o CWP devem ter acesso restrito, preferencialmente por VPN ou redes de gerenciamento controladas. A autenticação forte, o monitoramento de integridade dos executáveis, a atualização dos componentes e a centralização de registros em sistemas independentes ajudam a limitar as oportunidades de ataque e preservar evidências.
O caso do CWPdoor apresenta uma dificuldade que merece atenção especial dos responsáveis pela segurança de servidores Linux: o componente comprometido pode continuar prestando exatamente o serviço esperado. A interface responde, os processos permanecem ativos e os registros convencionais parecem normais. Por isso, verificar apenas a disponibilidade do serviço e a ausência de alertas deixa uma parte importante da segurança sem avaliação.
Em ambientes corporativos, a confiança na infraestrutura administrativa precisa ser sustentada por controles de integridade e por fontes independentes de monitoramento. Quando um invasor consegue modificar o próprio componente que administra o servidor e registra seus acessos, a investigação não pode depender exclusivamente das informações produzidas por esse mesmo componente.
Be the first to comment