يتم توزيع برمجية خبيثة جديدة لنظام Linux تُدعى CWPdoor عبر نسخة مزروعة ببرمجية خبيثة من cwpsrv، وهو الخادم الخاص بواجهة إدارة Control Web Panel (CWP). تعمل هذه البرمجية كخلفية سلبية، تظل خاملة حتى يتم تفعيلها بواسطة طلب مُصمم خصيصًا من المهاجم.
وصف الباحثون في XLab برمجية CWPdoor بأنها 'شديدة التخفي' بسبب آلية تفعيلها السلبية وقدرتها على قمع السجلات. تم اكتشاف البرمجية في 29 يونيو بعد العثور على سكربت يستبدل الملف التنفيذي الشرعي 'cwpsrv' بنسخة خبيثة.
يستبدل السكربت نسخ cwpsrv 1.15.10 و1.24.0، ويتخذ خطوات لإخفاء الاستبدال عن طريق استعادة الطوابع الزمنية للملفات والمجلدات. يتحقق الباب الخلفي مما إذا كانت الطابع الزمني يقع ضمن نافذة زمنية مدتها خمس دقائق ويقوم بالتحقق من توقيع RSA قبل تنفيذ الأوامر.
تم كشف أكثر من 340,000 حالة من CWP على الويب العام خلال الشهر الماضي، مما يثير القلق بشأن حجم التأثير المحتمل. تم تحميل CWPdoor إلى VirusTotal في 30 سبتمبر، إلى جانب الباب الخلفي Ebury، حيث أظهر الملف الخبيث cwpsrv عدم وجود أي اكتشافات.
تم تأكيد وجود ضحايا حقيقيين في الواقع، مما يشير إلى أن البرمجية الخبيثة يتم استغلالها فعليًا.