CentOS Web Panel (CWP) — бесплатная альтернатива cPanel и Plesk, популярная у небольших хостингов и владельцев VPS: она ставится на сервер и даёт веб-интерфейс для управления сайтами, почтой и базами. Именно поэтому компрометация панели означает контроль над всеми сайтами на машине.
CWPdoor — пассивный имплант. Он не создаёт обратных соединений и не стучится на сервер управления, а ждёт специально сформированный зашифрованный запрос и отвечает на него. Для сетевого мониторинга это почти невидимо: трафик похож на обычные обращения к панели, а команды и вывод шифруются AES-256-CBC.
XLab обнаружила бэкдор 29 июня. В том же наборе оказался Ebury — известный многолетний бэкдор для Linux-хостингов, что указывает на более широкую экосистему компрометации, а не на одиночную акцию.
Как проверить себя
Исследователи называют конкретные артефакты: Unix-сокет ngx_http_integrity_helper и строки X-Ngx-Integrity в серверных бинарниках. Это не гарантия обнаружения, потому что атакующий может менять детали, но проверка занимает минуты.
Отдельно стоит ответить на вопрос, откуда взялась панель. Если CWP ставился из стороннего образа или «сборки с форума», целостность нужно считать нарушенной: переустановка из официального источника — единственный надёжный путь.
По оценкам, в открытом доступе больше 340 тысяч панелей CWP. Для владельцев таких серверов это повод проверить как минимум доступность панели из интернета: она не обязана быть публичной.
CentOS Web Panel (CWP) is a free alternative to cPanel and Plesk, popular with small hosts and VPS owners: it installs on a server and provides a web interface for sites, mail and databases. That is why compromising the panel means control over every site on the machine.
CWPdoor is a passive implant. It opens no reverse connections and does not call home; it waits for a specially crafted encrypted request and answers it. Network monitoring barely sees it: the traffic resembles ordinary panel requests, and commands and output are encrypted with AES-256-CBC.
XLab discovered the backdoor on 29 June. The same package contained Ebury, the long-running Linux hosting backdoor, which points to a broader compromise ecosystem rather than a one-off.
How to check
The researchers name concrete artefacts: a ngx_http_integrity_helper Unix socket and X-Ngx-Integrity strings in server binaries. That is not a guarantee of detection, since an attacker can change details, but the check takes minutes.
It is also worth asking where the panel came from. If CWP was installed from a third-party image or a “build from a forum”, treat integrity as broken: a reinstall from the official source is the only reliable path.
An estimated 340,000-plus CWP panels are exposed online. For owners of such servers that is a reason to check at least whether the panel is reachable from the internet: it does not have to be public.