CWPdoor : backdoor furtif dans Control Web Panel CWP

Les faits

Les chercheurs de XLab, division de recherche en menaces de QiAnXin Technology Group, ont divulgué le 5 novembre 2026 la découverte d un backdoor sophistiqué baptisé CWPdoor, ciblant spécifiquement les serveurs Linux exécutant Control Web Panel (CWP, anciennement connu sous le nom de CentOS Web Panel). CWPdoor se distingue par sa capacité à remplacer furtivement le binaire cwpsrv — le serveur web propriétaire de CWP gérant l interface d administration — par une version trojanisée fonctionnellement identique mais intégrant des capacités de backdoor passif. La menace est d autant plus préoccupante que XLab a identifié plus de 340 000 instances CWP exposées sur l Internet public au cours du dernier mois, représentant une surface d attaque massive pour les hébergeurs et administrateurs système utilisant ce panel.

CWPdoor opère sur le principe du backdoor passif : contrairement à un implant actif qui maintient une connexion sortante vers un serveur de commande et contrôle (C2), CWPdoor reste totalement dormant jusqu à la réception d une requête HTTP spécialement forgée. Cette architecture réduit considérablement son empreinte réseau et le rend quasi-invisible aux outils de détection basés sur l analyse des flux réseaux sortants ou la surveillance des connexions établies. Le vecteur de déclenchement est un en-tête HTTP personnalisé nommé X-Ngx-Integrity-Data, accompagné de deux en-têtes complémentaires : X-Ngx-Integrity-Time (timestamp de la requête) et X-Ngx-Integrity-Sig (signature RSA de la requête).

Le protocole de commande de CWPdoor intègre plusieurs mécanismes de sécurité qui révèlent un niveau de sophistication élevé de son auteur. Premièrement, les commandes transmises dans l en-tête X-Ngx-Integrity-Data sont chiffrées en AES-256-CBC, rendant leur interception et leur analyse triviale impossible sans les clés cryptographiques. Deuxièmement, chaque requête doit être accompagnée d une signature RSA valide dans X-Ngx-Integrity-Sig. Troisièmement, le timestamp dans X-Ngx-Integrity-Time doit se trouver dans une fenêtre de plus ou moins 300 secondes (5 minutes) par rapport à l heure système du serveur compromis, ce qui implémente une protection contre les attaques par rejeu (replay attacks). Cette combinaison de chiffrement AES, de signature RSA et de fenêtre temporelle garantit que seul le détenteur des clés privées peut activer et contrôler le backdoor.

CWPdoor est distribué via un script malveillant se présentant comme un outil de mise à jour de CWP. Ce script réalise plusieurs opérations pour maximiser sa furtivité : il remplace les binaires cwpsrv des versions 1.15.10 et 1.24.0 par la version backdoorée, restaure les horodatages (timestamps) de modification des fichiers et répertoires pour masquer les changements récents, supprime les fichiers temporaires créés lors de l installation, et efface l historique des commandes shell pour éliminer les traces de l exécution du script. Ce niveau de sophistication dans les techniques anti-forensics indique une opération planifiée et organisée.

La détection a été initialement rendue difficile par des caractéristiques anti-analyse remarquables. Le fichier malveillant cwpsrv.suspeito — dont le nom lui-même suggère une soumission depuis un environnement de test ou de recherche — a été téléchargé sur VirusTotal le 30 septembre 2026 dans une archive contenant également le backdoor Ebury, un malware Linux sophistiqué actif depuis au moins 2009 et utilisé pour le vol de credentials SSH et la compromission à grande échelle de serveurs Linux. Au moment de sa soumission, le fichier cwpsrv.suspeito n avait aucune détection — un taux de zéro — sur l ensemble des moteurs antivirus de la plateforme. XLab a découvert CWPdoor lors d une investigation forensique indépendante le 29 juin 2026, plusieurs mois avant la divulgation publique du 5 novembre 2026.

Le lien entre CWPdoor et le malware Ebury n est pas encore clairement établi par les chercheurs de XLab. Ebury est un backdoor OpenSSH sophistiqué et un voleur de credentials qui a compromis des centaines de milliers de serveurs Linux depuis sa découverte initiale en 2011 et documenté dans les rapports ESET. Son association avec CWPdoor dans la même archive téléchargée sur VirusTotal peut indiquer soit une coopération entre acteurs malveillants, soit l utilisation d une même infrastructure de distribution, soit une simple coïncidence dans le cadre d un kit d exploitation. Des investigations complémentaires sont en cours selon XLab pour clarifier cette relation et établir une attribution.

La technique du backdoor passif activé par un en-tête HTTP spécifique est un vecteur d attaque particulièrement insidieux dans le contexte des panels d administration web. CWP gère l interface d hébergement web de milliers de serveurs — souvent pour des hébergeurs partagés ou des PME — ce qui signifie que la compromission d un seul serveur CWP peut donner accès à des dizaines ou centaines de sites web hébergés sur cette infrastructure. La furtivité de CWPdoor dans les logs est assurée par une technique supplémentaire : il interfère directement avec le module de logging de cwpsrv pour supprimer les entrées de log correspondant aux requêtes de déclenchement. Ainsi, même un administrateur vérifiant ses logs d accès HTTP ne verra aucune trace des commandes reçues par le backdoor.

Le vecteur d accès initial permettant l installation du script malveillant n a pas encore été pleinement documenté par XLab dans leur rapport du 5 novembre 2026. Les hypothèses incluent l exploitation de vulnérabilités antérieures de CWP — plusieurs CVE critiques ont affecté ce logiciel ces dernières années, notamment des injections de commandes et des bypasses d authentification — des attaques par force brute sur les interfaces d administration, ou des compromissions de la chaîne d approvisionnement logicielle. Cette incertitude sur le vecteur initial complique la remédiation, qui doit nécessairement inclure un audit complet des accès et des services en plus du remplacement du binaire compromis.

Impact et exposition

L impact de CWPdoor est potentiellement catastrophique pour les opérateurs d hébergement web utilisant CWP. Un serveur compromis donne à l attaquant un accès persistant et quasi-indétectable à l ensemble de l infrastructure hébergée : fichiers de sites web, bases de données MySQL, emails, fichiers de configuration incluant des credentials de bases de données et d API, certificats SSL, et clés SSH des utilisateurs. Dans un contexte d hébergement partagé, cela implique la compromission potentielle de tous les clients hébergés sur le serveur affecté.

La surface d attaque de 340 000 instances CWP exposées représente une opportunité considérable pour des acteurs malveillants cherchant à constituer des botnets, à déployer des pages de phishing, à distribuer des malwares, ou à réaliser des attaques de type watering hole. La capacité d exécution de commandes arbitraires sur le serveur via CWPdoor permet toutes ces activités sans laisser de trace dans les logs standards.

La furtivité du backdoor — activation par en-tête HTTP spécifique, chiffrement des commandes, suppression des logs, restauration des timestamps — signifie que les serveurs peuvent rester compromis pendant des mois ou des années sans détection. Les indicateurs de compromission disponibles sont limités et nécessitent un accès direct au système pour leur vérification, rendant la détection à distance difficile sans outils spécialisés.

Du point de vue de la conformité RGPD et NIS2, un hébergeur ayant subi une compromission via CWPdoor est potentiellement tenu de notifier ses clients et l autorité de contrôle compétente (CNIL en France) si des données personnelles ont pu être exposées. L absence de détection possible dans les logs normaux complique l évaluation de l étendue de la compromission et la durée d exposition.

Recommandations immédiates

• Vérifier la présence du socket Unix suspect sur les systèmes CWP : find /tmp /var/run -name "ngx_http_integrity*" 2>/dev/null
• Scanner le binaire cwpsrv pour les strings de backdoor : strings /usr/local/cwpsrv/sbin/cwpsrv | grep -i "X-Ngx-Integrity" — toute correspondance indique une compromission
• Comparer le hash SHA256 de cwpsrv avec celui d une installation propre : sha256sum /usr/local/cwpsrv/sbin/cwpsrv
• En cas de compromission confirmée : remplacer cwpsrv par un binaire légitime, mettre à jour CWP vers la dernière version, effectuer un audit complet des fichiers modifiés avec AIDE ou Tripwire
• Faire pivoter immédiatement tous les credentials : mots de passe root, MySQL, emails d hébergement, clés API et SSH présents sur le serveur
• Mettre en place une surveillance des modifications de fichiers binaires système (auditd, AIDE) pour détecter de futures compromissions
• Vérifier les autres serveurs du réseau pour des patterns de trafic HTTP vers les serveurs CWP avec des en-têtes X-Ngx-Integrity