Backdoor CWPdoor cible les serveurs Linux via un faux cwpsrv
5 novembre 2026 · Cybersécurité
Des chercheurs de XLab ont découvert un nouveau malware Linux nommé CWPdoor, distribué via une version trojanisée du binaire cwpsrv du panneau de gestion Control Web Panel. Le backdoor passif se déclenche uniquement sur réception d'une requête HTTP chiffrée avec signature RSA, rendant sa détection particulièrement difficile. Selon XLab, plus de 340 000 instances CWP sont exposées sur Internet, et des victimes réelles ont déjà été compromises, le fichier malveillant affichant zéro détection sur VirusTotal lors de sa découverte. Une connexion avec le botnet Ebury, actif depuis 2009 et ayant infecté près de 400 000 serveurs, a été identifiée sans que son rôle soit encore clarifié.
Impact marchés
Marché de la sécurité des serveurs Linux et des panneaux d'administration web hosting (cPanel, Plesk, CWP). Éditeurs de solutions de détection d'intrusion et EDR Linux concernés. QiAnXin Technology Group (non coté en occident) met en avant ses capacités de recherche.
Opportunités
Opportunité pour les acteurs de la cybersécurité spécialisés en détection Linux et en protection des environnements d'hébergement. Risque élevé pour les hébergeurs et administrateurs utilisant CWP non mis à jour. La connexion Ebury suggère une campagne organisée pouvant s'élargir.