O malware Linux que some dos logs e engana o antivírus tem 340 mil servidores na mira
A pegadinha é o método: o invasor finge ser um atualizador e troca o binário do servidor web por um infectado.
Pesquisadores da XLab, braço de segurança da QiAnXin, descobriram em 29 de junho o CWPdoor, malware que entra em servidores Linux por meio de uma versão trojanada do cwpsrv, o servidor web do painel Control Web Panel. O programa se passa por atualizador e troca o binário legítimo por um infectado, restaurando timestamps e apagando o histórico de comandos para não deixar rastro.
O backdoor fica dormente até receber um comando criptografado via HTTP e ainda interfere no módulo de logs para não aparecer nos registros de acesso. O arquivo malicioso foi enviado ao VirusTotal em 30 de setembro com zero detecções, junto com o botnet Ebury, ativo desde pelo menos 2009 e responsável por infectar quase 400 mil servidores segundo a ESET.