Linux সার্ভার ও হোস্টিং অ্যাডমিনদের জন্য সতর্কবার্তা: নিরাপত্তা গবেষকেরা Control Web Panel (CWP)-এর নিজস্ব ওয়েব সার্ভার cwpsrv-এর পরিবর্তিত সংস্করণে একটি ব্যাকডোর শনাক্ত করেছেন। cwpdoor নামে চিহ্নিত এই ম্যালওয়্যার বিশেষভাবে তৈরি ওয়েব অনুরোধের মাধ্যমে আক্রমণকারীর নির্দেশ চালাতে পারে; গবেষকদের বিশ্লেষণ অনুযায়ী সেই অনুরোধ সাধারণ access log-এ নাও দেখা যেতে পারে।
এই প্রতিবেদনটি গবেষকদল QiAnXin XLab-এর বিশ্লেষণ ও The Hacker News-এর সংবাদ অবলম্বনে APT COM-এর নিজস্ব ভাষায় প্রস্তুত। কোনো সার্ভার আক্রান্ত হয়েছে কি না, তা কেবল এই খবর পড়ে নিশ্চিত করা যায় না।
CWPdoor কী এবং কোন সফটওয়্যারকে লক্ষ্য করে?
Control Web Panel হলো Linux হোস্টিং সার্ভার পরিচালনার একটি কন্ট্রোল প্যানেল। এর প্রশাসনিক প্যানেল চালাতে ব্যবহৃত cwpsrv প্রোগ্রামের মধ্যেই গবেষকেরা ক্ষতিকর কোড যুক্ত একটি সংস্করণ পেয়েছেন। এটি সাধারণ অবস্থায় স্বাভাবিক সার্ভারের মতো আচরণ করতে পারে; নির্দিষ্ট বৈধ স্বাক্ষর ও সময়সংক্রান্ত তথ্যসহ অনুরোধ পেলে ব্যাকডোরের কার্যক্রম চালু হয়।
গবেষণায় পাওয়া ইনস্টলারটি cwpsrv-এর 1.15.10 ও 1.24.0 সংস্করণ লক্ষ্য করে তৈরি। এটি চালাতে root অধিকার প্রয়োজন। আক্রমণকারীরা প্রাথমিকভাবে কীভাবে সেই অধিকার পায়, গবেষকেরা তা নিশ্চিত করতে পারেননি। তাই খবরটি থেকে কোনো নির্দিষ্ট সফটওয়্যার ত্রুটি বা সকল CWP সার্ভার আক্রান্ত—এমন সিদ্ধান্তে পৌঁছানো ঠিক হবে না।
কেন এটি শনাক্ত করা কঠিন হতে পারে?
- ক্ষতিকর কার্যক্রম আলাদা দৃশ্যমান অ্যাপ হিসেবে নয়, প্যানেলের ওয়েব সার্ভারের পরিবর্তিত বাইনারির মধ্যে থাকতে পারে।
- গবেষকদের পর্যবেক্ষণে বিশেষ অনুরোধ সাধারণ access log থেকে বাদ দেওয়া হয়। ফলে শুধু access log পরিষ্কার দেখলেই সার্ভার নিরাপদ প্রমাণ হয় না।
- ইনস্টলারটি ফাইলের সময়সংক্রান্ত তথ্য আগের মতো রাখতে পারে; ফলে শুধু ফাইলের তারিখ দেখে পরিবর্তন বোঝা কঠিন হতে পারে।
গবেষকেরা একটি নমুনার পাশাপাশি Ebury ম্যালওয়্যারও পেয়েছিলেন, তবে দুইটির সম্পর্ক নিশ্চিত নয়। আক্রান্ত সার্ভারের সংখ্যা সম্পর্কে নির্দিষ্ট তথ্যও প্রকাশিত হয়নি।
CWP সার্ভার অ্যাডমিনরা কীভাবে প্রাথমিক যাচাই করবেন?
নিচের পরীক্ষাগুলো অভিজ্ঞ Linux প্রশাসকের জন্য শুধু পড়ার উদ্দেশ্যে দেওয়া হলো। উপযুক্ত অনুমতি ছাড়া অন্যের সার্ভারে চালাবেন না। আগে নিশ্চিত করুন সার্ভারে সত্যিই Control Web Panel ও cwpsrv আছে; cPanel/WHM এবং CWP এক জিনিস নয়।
১. সন্দেহজনক Unix socket দেখুন
sudo ss -axp | grep -i integrityগবেষণায় বর্ণিত ngx_http_integrity_helper নামের socket পাওয়া গেলে সেটি তদন্তের গুরুত্বপূর্ণ সংকেত। কোনো ফল না পাওয়া মানেই সার্ভার সম্পূর্ণ নিরাপদ—এমন নয়; অনুমতি ও পরিবেশ অনুযায়ী দৃশ্যমানতাও ভিন্ন হতে পারে।
২. cwpsrv প্রক্রিয়া পর্যালোচনা করুন
ps aux | grep '[c]wpsrv'অপ্রত্যাশিত সহকারী বা child process আছে কি না যাচাই করুন। অপরিচিত process দেখলেই তাকে ম্যালওয়্যার ধরে না নিয়ে প্রতিষ্ঠানের স্বাভাবিক সার্ভিস কনফিগারেশন ও বিশেষজ্ঞের বিশ্লেষণের সঙ্গে মিলিয়ে দেখুন।
৩. বাইনারিতে গবেষণায় বর্ণিত নির্দেশক খুঁজুন
sudo strings /usr/local/cwpsrv/bin/cwpsrv | grep 'X-Ngx-Integrity'এই path আপনার সিস্টেমে ভিন্ন হতে পারে। নির্দেশক মিললে নিরাপত্তা বিশেষজ্ঞকে জানান। একটি string বা একক পরীক্ষার ফল দিয়েই চূড়ান্ত সিদ্ধান্ত নেবেন না।
সন্দেহজনক কিছু পাওয়া গেলে কী করবেন?
- প্রমাণ সংরক্ষণ করুন: সম্ভাব্য আক্রান্ত সিস্টেমের প্রাসঙ্গিক লগ, process ও ফাইলের তথ্য সংরক্ষণের জন্য অভিজ্ঞ incident-response বিশেষজ্ঞের সাহায্য নিন।
- ঝুঁকি সীমিত করুন: সার্ভারের কাজ বন্ধ বা নেটওয়ার্ক থেকে বিচ্ছিন্ন করার আগে ব্যবসায়িক প্রভাব ও প্রমাণ সংরক্ষণের বিষয় বিবেচনা করুন।
- বিশ্বস্ত উৎস ব্যবহার করুন: CWP সরবরাহকারীর নির্দেশনা অনুসারে সফটওয়্যার যাচাই ও আপডেট করুন। শুধু সন্দেহজনক সার্ভারে পাওয়া একটি backup-কে যাচাই ছাড়া নিরাপদ ধরে নেবেন না; গবেষণায় বলা হয়েছে সফল ইনস্টলেশনের পর ওই backup মুছে যেতে পারে।
- পরিচয়পত্র সুরক্ষিত করুন: নিরাপদ ও পরিষ্কার পরিবেশ থেকে নিয়ন্ত্রণ প্যানেল, SSH এবং প্রাসঙ্গিক API credential পরিবর্তনের পরিকল্পনা করুন।
- সম্পূর্ণ তদন্ত করুন: root-স্তরের অনুপ্রবেশের সম্ভাবনায় শুধু একটি ফাইল বদলানো যথেষ্ট নাও হতে পারে। প্রয়োজন হলে যাচাইকৃত পরিচ্ছন্ন উৎস থেকে সার্ভার পুনর্গঠন করুন।
হোস্টিং নিরাপত্তায় নিয়মিত করণীয়
প্রশাসনিক প্যানেলে প্রবেশ সীমিত রাখা, MFA ব্যবহার, আপডেট বিশ্বস্ত উৎস থেকে নেওয়া, স্বাধীনভাবে সংরক্ষিত backup পরীক্ষা এবং সার্ভারের কার্যকলাপ পর্যবেক্ষণ—এসব ঝুঁকি কমাতে সাহায্য করে। তবে কোনো একক ব্যবস্থা সব আক্রমণ ঠেকানোর নিশ্চয়তা দেয় না।
হোস্টিং পরিকল্পনা তুলনা করতে দেখুন APT COM Shared Hosting এবং Reseller Hosting। আপনার সার্ভারের নিরাপত্তা নিয়ে সহায়তার প্রয়োজন হলে APT COM-এর সঙ্গে যোগাযোগ করুন।
সূত্র
- QiAnXin XLab: CWPdoor-এর মূল প্রযুক্তিগত বিশ্লেষণ
- The Hacker News: Control Web Panel সার্ভারে Linux backdoor সম্পর্কিত প্রতিবেদন
এটি তথ্যভিত্তিক নিরাপত্তা প্রতিবেদন; কোনো নির্দিষ্ট সার্ভার আক্রান্ত কি না তা আলাদা তদন্ত ছাড়া নিশ্চিত করা যায় না।
