XLab披露CWPdoor后门：植入Control Web Panel的cwpsrv，34万实例面临风险

零杀毒软件检出。无访问日志。仅由签名请求触发——而34万个CWP实例正面临风险。

2026年6月29日，XLab的Cyber Threat Insight and Analysis System（CTIA）捕获了一个名为cwpsrv_update.sh的可疑脚本。该脚本从远程服务器136.0.141.71下载一个名为cwpsrv的文件，并替换系统上的同名文件。我们的分析确认，下载的cwpsrv是一个被动后门，可由HTTP/HTTPS流量中的特定请求头触发，从而远程执行攻击者指定的命令。由于它针对的是Control Web Panel，我们将其命名为cwpdoor。

cwpdoor并非独立恶意软件。它被嵌入在cwpsrv之中——攻击者将恶意代码插入cwpsrv源代码并重新编译。作为一个被动后门，它在正常运行期间不表现出明显的恶意行为，行为与合法的cwpsrv服务器无异。只有在收到攻击者精心构造的请求时，其后门逻辑才会被触发。与此同时，它会抑制该请求的日志记录，使访问日志中不留下任何交互痕迹。直接替换合法的cwpsrv二进制文件、被动触发以及日志抑制这三者的结合，使cwpdoor具有极高的隐蔽性。

Control Web Panel（CWP）是一款面向CentOS及其他Linux发行版的免费开源服务器管理控制面板。它提供图形界面来管理网站、DNS、电子邮件等服务器资源，免去了繁琐的SSH命令行操作。而cwpsrv则是CWP自身管理面板专用的Web服务器，负责提供CWP控制面板界面及其相关内置应用的访问。根据奇安信Hunter平台的数据，过去一个月有超过34万个CWP实例暴露在互联网上，使它们全部成为cwpdoor感染的潜在目标。

2026年9月30日，一个名为evidencia.tgz的文件从巴西被上传至VirusTotal。该压缩包内含两个恶意文件：libkeyutils.so.1.5.2和cwpsrv.suspeito。多数安全厂商正确识别出libkeyutils为Ebury后门，但cwpsrv.suspeito的检出率为零。该文件正是cwpdoor后门。这表明该活动并非仅仅处于实验阶段：现实世界中已经存在真实受害者。（注：Ebury与cwpdoor之间的关系尚不明确。这两个恶意软件家族可能是由不同的攻击者植入同一台服务器的。）

由于主流安全厂商尚未识别出cwpdoor，我们决定发布本文，与安全社区分享相关情报。我们也欢迎对该活动有独特视野的业内同行提供线索，希望厘清cwpdoor的传播渠道，并共同提升网络安全水平。

2026年6月29日捕获的感染脚本的基本信息如下： MD5: e505d4ffa21cf494a5dc2d7c8f4f1236 Magic: Bourne-Again shell script text executable Name: cwpsrv_update.sh

该脚本的功能很直接。它伪装成“版本更新”，实际上是一个cwpsrv替换与部署工具（仅支持1.24.0和1.15.10版本）。它必须以root权限运行。首先，它检查本地cwpsrv版本，下载对应的二进制文件，并校验版本是否匹配。随后备份原始文件，停止cwpsrv服务，用恶意二进制文件覆盖/usr/local/cwpsrv/bin/cwpsrv，重启服务，并检查master、worker和helper进程是否在运行。如果健康检查失败，它会自动回滚；如果成功，则删除临时文件和备份。最值得注意的是，无论操作成功还是失败，脚本都会将新二进制文件的atime/mtime及其父目录的时间戳恢复为原始值。它还会执行history -d删除当前会话的命令历史。因此，在ls、stat等常规检查下，被替换的文件看起来仿佛“从未被修改过”。该脚本还会将更新结果回传给136.0.141.71。

我们捕获了两个cwpdoor样本，分别针对cwpsrv 1.15.10和1.24.0版本。以下分析主要聚焦于针对1.15.10版本的样本。其基本信息如下： MD5: 965aea67fb40de1bab5169ada993349f Magic: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, stripped Name:cwpsrv_1.15.10

从本质上讲，cwpsrv是CWP基于Nginx定制的服务器，专门负责提供CWP控制面板界面及相关内置应用的访问。此次攻击中部署的cwpdoor在cwpsrv源代码中加入了恶意后门功能。该后门可由特定的HTTP流量触发，远程执行攻击者下发的命令。

一次完整的攻击交互流程如下： 发起：攻击者构造一个包含以下请求头的HTTP请求：X-Ngx-Integrity-Time（时间戳）、X-Ngx-Integrity-Data（AES加密的命令）和X-Ngx-Integrity-Sig（RSA签名）。 验证：cwpdoor的master进程在入口处拦截该请求，校验时间戳，并使用内置公钥验证签名。若任一校验失败，请求将继续作为普通流量处理，后门逻辑不会被触发。 执行：验证成功后，master进程解密命令，并通过Unix域套接字将其传递给helper子进程执行。 响应：执行结果经AES加密后，以HTTP 200响应返回给攻击者，内容类型为application/octet-stream。该请求同样被排除在日志记录之外。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）