Linux 後門 CWPdoor 藏身竄改版 CWP 管理面板 cwpsrv，觸發時不留存取紀錄

奇安信 XLab 揭露，6 月 29 日捕獲名為 cwpsrv_update.sh 的可疑指令碼，會從遠端伺服器下載遭植入後門並重新編譯的 cwpsrv，取代 Control Web Panel（CWP）原有程式，該後門只在收到特製請求時執行攻擊者指令並抑制該請求的存取紀錄 ^[1]。XLab 稱過去一個月有逾 34 萬個 CWP 執行個體暴露於網際網路，並指 9 月 30 日上傳至 VirusTotal 的樣本中，cwpdoor 偵測率為零，顯示已有實際受害者 ^[1][2]。CWP 管理者應依 XLab 的入侵指標檢查主機，若確認遭感染，以攻擊者留下的備份檔還原 cwpsrv、升級至最新版並立即更換所有控制面板憑證 ^[1]。

使用 Control Web Panel（CWP）的 Linux 伺服器管理者；實際受害範圍未公布 ^[1]

1. 依 XLab 公布的入侵指標與 IOC（含下載來源 IP 136.0.141.71）檢查 CWP 主機 ^[1]。
2. 若確認感染，以 /usr/local/cwpsrv/bin 下 cwpsrv.prev- 開頭的備份檔取代惡意 cwpsrv，升級至最新版並確認 ss -axp | grep integrity 不再有結果 ^[1]。
3. 立即更換所有控制面板憑證，並將主機視為已遭入侵進一步調查 ^[1]。