La porte dérobée CWPdoor compromet 340 000 serveurs Linux et efface ses traces

Niveau B · Corriger cette semaine – Au prochain sprint

Qui est exposé : Serveurs Linux exécutant Control Web Panel, environ 340 000 selon Goodtech

Niveau B, parce que : Activement exploitée OU exploit public

Portée

Attaque

Dégâts

Correctif

Activement exploitée · Compromission totale

Que faire

Vérifier la présence de la porte dérobée CWPdoor sur les serveurs Control Web Panel en suivant la méthode de détection indiquée dans l'article de Goodtech

L’essentiel

La porte dérobée CWPdoor compromet le serveur web de Control Web Panel sur Linux, selon Goodtech.
Environ 340 000 serveurs sont concernés d'après l'article.
La porte dérobée n'ouvre aucun port, n'est pas détectée par les antivirus et supprime automatiquement les journaux d'accès.

Pourquoi c’est important

Les serveurs Linux administrés avec Control Web Panel peuvent être compromis sans signal évident : l'absence de port ouvert, de détection antivirus et de journaux d'accès rend l'intrusion difficile à repérer.

La check-list derrière le niveau

Check-list · 3 oui sur 10

Oui	Touche les équipes tech	Control Web Panel est un panneau d'hébergement que les équipes d'exploitation utilisent pour administrer leurs serveurs.
Non	Infrastructure de base	Il s'agit d'un produit d'un éditeur précis, pas d'un logiciel de base utilisé par presque toutes les équipes.
Non	Outil répandu	Control Web Panel reste un panneau d'hébergement de niche, peu connu en dehors des hébergeurs.
Oui	Activement exploitée	Goodtech : la porte dérobée a déjà compromis le serveur web de Control Web Panel, 340 000 serveurs visés.
Non	Exploit public	Goodtech ne mentionne aucun code d'exploitation ni preuve de concept publiés.
Non	À distance, sans identifiants	Goodtech ne précise pas que l'accès se fait à distance sans identifiants.
Oui	Compromission totale	Goodtech : une porte dérobée qui pirate le serveur, ce qui implique une prise de contrôle.
Non	Secrets exposés	Goodtech ne dit pas que des identifiants, configurations ou données ont été volés ou exposés.
Non	Chaîne d'approvisionnement	Goodtech ne décrit ni paquet compromis, ni mise à jour piégée, ni pipeline de build touché.
Non	Pas encore de correctif	Goodtech ne dit pas qu'aucun correctif n'existe encore.

Source

340 000 serveurs dans le viseur : comment la porte dérobée CWPdoor s’efface des logs Linux ↗ Goodtech · il y a 3 h

Repéré le il y a 3 h · 1 source · Page complète de l’article · Comment les niveaux sont attribués