C
月内に
中国のセキュリティ企業XLabが、Linux用ウェブサーバー管理ツール「Control Web Panel (CWP)」を標的とした新型バックドア「CWPdoo…
📌 一言でいうと
中国のセキュリティ企業XLabが、Linux用ウェブサーバー管理ツール「Control Web Panel (CWP)」を標的とした新型バックドア「CWPdoor」を発見しました。攻撃者は偽の更新スクリプトを用いて正当な実行ファイルを悪意あるものに置き換え、RSA署名付きの特定のHTTPリクエストを通じて遠隔操作を行います。世界中で34万台以上のCWPサーバーがインターネットに公開されており、潜在的な攻撃対象となる可能性があります。
🔍該当判定
- Linuxサーバーで、管理ツール「Control Web Panel (CWP)」をインストールして利用している
- 自社で運用しているLinuxサーバーが、外部（インターネット）から直接アクセス可能な状態で公開されている
- 最近、CWPのアップデート（cwpsrv_update.shなどの実行）を行った
上記いずれにも該当しない → 静観でOK
✅該当時の対応
CWPの実行ファイル（cwpsrv）の整合性を確認し、不審な更新スクリプト（cwpsrv_update.sh）の実行履歴がないか調査してください。また、不審なHTTPリクエストや外部への通信がないかログを確認することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Control Web Panel (CWP) を標的としたバックドア「CWPdoor」への対応について
お疲れさまです。CWPdoorに関する情報共有です。
■ 概要
Linux用管理ツール「Control Web Panel (CWP)」の正当なバイナリを悪意あるものに置き換える新型バックドア「CWPdoor」が確認されました。攻撃者は偽の更新スクリプトを用いて潜伏し、RSA署名を用いた特定のHTTPリクエストを受信した際のみ動作するため、検知が困難な設計となっています。
■ 影響範囲
- Control Web Panel (CWP) を導入しているLinuxサーバー
■ 対応手順
1. サーバー内で不審なスクリプト（例: cwpsrv_update.sh）の実行履歴がないか確認してください。
2. cwpsrv バイナリのハッシュ値を確認し、正当なバージョンと相違ないか検証してください。
3. 外部からの不審なHTTPヘッダーを含むリクエストや、不自然なアウトバウンド通信を監視してください。
■ 参考情報
- XLab Threat Research Team
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。CWPdoorに関する情報共有です。
■ 概要
Linux用管理ツール「Control Web Panel (CWP)」の正当なバイナリを悪意あるものに置き換える新型バックドア「CWPdoor」が確認されました。攻撃者は偽の更新スクリプトを用いて潜伏し、RSA署名を用いた特定のHTTPリクエストを受信した際のみ動作するため、検知が困難な設計となっています。
■ 影響範囲
- Control Web Panel (CWP) を導入しているLinuxサーバー
■ 対応手順
1. サーバー内で不審なスクリプト（例: cwpsrv_update.sh）の実行履歴がないか確認してください。
2. cwpsrv バイナリのハッシュ値を確認し、正当なバージョンと相違ないか検証してください。
3. 外部からの不審なHTTPヘッダーを含むリクエストや、不自然なアウトバウンド通信を監視してください。
■ 参考情報
- XLab Threat Research Team
対応優先度: 高
対応期限: 速やかに確認
Subject: [Security Alert] Backdoor 'CWPdoor' targeting Control Web Panel (CWP)
Dear IT Administration Team,
We are sharing information regarding a newly discovered backdoor named 'CWPdoor' targeting the Control Web Panel (CWP) management tool.
■ Overview
CWPdoor replaces the legitimate 'cwpsrv' binary with a malicious version via a fake update script. It remains dormant until it receives a specific encrypted HTTP request verified by an RSA signature, making it highly stealthy and difficult to detect with standard antivirus tools.
■ Scope
- Linux servers running Control Web Panel (CWP).
■ Recommended Actions
1. Audit server logs for the execution of suspicious scripts, specifically 'cwpsrv_update.sh'.
2. Verify the integrity of the 'cwpsrv' binary by comparing its hash against a known clean version.
3. Monitor network traffic for unusual HTTP headers or unauthorized outbound connections.
■ Reference
- XLab Threat Research Team
Priority: High
Deadline: Immediate review
Dear IT Administration Team,
We are sharing information regarding a newly discovered backdoor named 'CWPdoor' targeting the Control Web Panel (CWP) management tool.
■ Overview
CWPdoor replaces the legitimate 'cwpsrv' binary with a malicious version via a fake update script. It remains dormant until it receives a specific encrypted HTTP request verified by an RSA signature, making it highly stealthy and difficult to detect with standard antivirus tools.
■ Scope
- Linux servers running Control Web Panel (CWP).
■ Recommended Actions
1. Audit server logs for the execution of suspicious scripts, specifically 'cwpsrv_update.sh'.
2. Verify the integrity of the 'cwpsrv' binary by comparing its hash against a known clean version.
3. Monitor network traffic for unusual HTTP headers or unauthorized outbound connections.
■ Reference
- XLab Threat Research Team
Priority: High
Deadline: Immediate review