Proceso auxiliar

Los operadores del malware activan la puerta trasera enviando comandos para ser ejecutados en forma de un encabezado HTTP cifrado (X-Ngx-Integrity-Data). La solicitud también contiene encabezados para la marca de tiempo (X-Ngx-Integrity-Time) y la firma RSA (X-Ngx-Integrity-Sig).

Los comandos y sus resultados se cifran utilizando el cifrado AES-256-CBC para mantenerlos protegidos.

La puerta trasera comprueba si la marca de tiempo cae dentro de una ventana de cinco minutos y verifica la firma RSA antes de descifrar el comando y pasarlo a un proceso auxiliar para su ejecución.

“Cambiar ya sea la marca de tiempo o el texto cifrado de forma independiente invalida la firma”, explica XLab [enlace].

“Al vincular los tres campos y aplicar una ventana de tiempo de ±300 segundos, el mecanismo proporciona protección contra la repetición y control de autorización”.

La puerta trasera también interfiere con el módulo de registro del servidor para evitar que la solicitud de activación aparezca en los registros de acceso.

limpieza de rastros

Tras encontrar el script de infección inicial, los investigadores vieron que CWPdoor fue subido a VirusTotal el 30 de septiembre en un archivo que incluía la puerta trasera Ebury.

Lo que llamó su atención fue que el archivo cwpsrv malicioso (cwpsrv.suspeito) en el archivo tenía cero detecciones.

"Esto indica que la campaña no fue meramente experimental: ya existen víctimas reales en el entorno real", afirman los investigadores, añadiendo que la conexión entre Ebury y CWPdoor sigue sin estar clara.

Ebury es una botnet de puerta trasera de Linux y robo de credenciales activa desde al menos 2009. Un informe de la empresa de ciberseguridad ESET en mayo de 2024 indicó que el malware había infectado a casi 400.000 servidores desde su aparición.

Los investigadores recomiendan que los administradores busquen el socket Unix ngx_http_integrity_helper, procesos auxiliares de cwpsrv sospechosos y cadenas X-Ngx-Integrity en el binario del servidor.

Si se confirma el compromiso, reemplace el binario comprometido por una copia legítima, actualice a la última versión, rote todas las credenciales del panel de control e investigue el host en busca de malware adicional.

Fuente:
BleepingComputer