Une porte dérobée a été découverte dans le serveur web de Control Web Panel : elle exécute des commandes sans laisser de logs.

Les chercheurs de XLab, l’équipe de recherche de QiAnXin, ont signalé cette semaine une découverte inquiétante. Une porte dérobée se cache dans le serveur web de Control Web Panel (CWP). Ce panneau gratuit sert à administrer des serveurs d’hébergement Linux. Ainsi, le code malveillant permet d’exécuter des commandes à distance. De plus, il agit sans laisser la moindre trace dans les journaux d’accès.

Une porte dérobée dans le serveur web de Control Web Panel

Control Web Panel est une solution de gestion appréciée. Elle séduit ceux qui veulent administrer un serveur d’hébergement sans payer de licence. On y gère notamment les sites, les comptes et les services. Le serveur web du panneau est donc un composant central de l’installation.

C’est précisément ce composant que les attaquants ont modifié. Selon XLab, le serveur web piégé exécute les commandes transmises par des requêtes web. Autrement dit, il se comporte comme une interface de contrôle cachée. Elle est accessible à quiconque connaît le bon moyen de la solliciter.

Cette approche est particulièrement discrète. En effet, le code malveillant ne s’ajoute pas à côté du serveur web. Il se loge dans le logiciel lui-même. Par conséquent, un simple examen des processus en cours détecte difficilement la menace.

Des commandes invisibles dans les journaux

Le point le plus remarquable concerne la journalisation. D’ordinaire, chaque requête reçue par un serveur web laisse une ligne dans ses journaux d’accès. Les administrateurs s’appuient sur ces fichiers pour repérer des appels suspects.

Ici, les requêtes qui déclenchent les commandes n’y apparaissent jamais. Par conséquent, un administrateur qui épluche ses logs ne verra rien d’anormal. De même, les outils de supervision qui exploitent ces fichiers resteront aveugles.

Ce choix n’a rien d’un hasard. Les auteurs de la backdoor cherchent à rester présents longtemps sur la machine. En effet, un accès que personne ne voit peut servir pendant des semaines, voire des mois.

Toutefois, les informations rendues publiques restent limitées à ce stade. Les éléments disponibles ne détaillent pas l’identité des opérateurs. Ils n’indiquent pas non plus le nombre de serveurs touchés. Il faut donc éviter toute conclusion hâtive sur l’ampleur de la campagne.

Un accès root était déjà nécessaire

Un point important tempère cependant la gravité de la découverte. L’installation de cette porte dérobée exige un accès root. Les attaquants devaient donc contrôler le serveur avant de la déployer.

Cela signifie que cette backdoor n’est pas un moyen d’entrée initial. Elle ne permet pas, à elle seule, de compromettre un serveur sain. En revanche, elle sert à pérenniser une intrusion déjà réussie.

Cette précision change la lecture du risque. Un serveur infecté a probablement été compromis par une autre voie. Il peut s’agir, par exemple, d’identifiants volés, d’une faille exploitée ou d’un mot de passe faible. La porte dérobée vient ensuite garantir un retour discret.

Ainsi, la présence de ce code est un signal d’alarme. Elle prouve qu’un tiers a obtenu les droits les plus élevés sur la machine. Par conséquent, tout ce qui s’y trouve doit être considéré comme exposé.

Recommandations pour les administrateurs

Les équipes qui exploitent Control Web Panel peuvent réagir sans attendre. Voici donc les vérifications à mener en priorité.

• Contrôler l’intégrité du serveur web du panneau. Comparez ses fichiers avec ceux d’une installation propre et de confiance.
• Consulter les indicateurs de compromission publiés par XLab, lorsqu’ils sont disponibles. Ensuite, recherchez-les sur vos machines.
• Surveiller le réseau et les processus plutôt que les seuls journaux d’accès. En effet, un serveur web qui lance des commandes système est un comportement anormal.
• Auditer les accès root : comptes, clés SSH, tâches planifiées et services ajoutés récemment.
• Exporter les journaux vers un système distant. Ainsi, un attaquant aura plus de mal à les altérer ou à les contourner.

Si une compromission est avérée, la prudence impose d’aller plus loin. Mieux vaut reconstruire le serveur à partir d’une image saine. Un simple nettoyage est en effet moins fiable. Il faut également changer tous les mots de passe, clés et secrets qui ont transité par la machine.

Ce qu’il faut retenir

• Une porte dérobée a été repérée par XLab (QiAnXin) dans le serveur web de Control Web Panel.
• Elle exécute des commandes reçues par requêtes web, sans apparaître dans les journaux d’accès.
• Son installation nécessite un accès root : les attaquants contrôlaient donc déjà le serveur.
• Elle sert ainsi à maintenir un accès discret, pas à pénétrer initialement dans le système.
• Enfin, la vérification d’intégrité, la surveillance hors logs et la reconstruction des machines compromises sont les réponses les plus sûres.

Source : Hackers Hide Linux Backdoor in Control Web Panel Server to Execute Commands Without Logs