Xshell версията на бекдор е имплантирана
Roar на 14 август официалната версия на 5.0 Build 1322, пусната от известния софтуер за управление на сървърни терминали Xshell на 18 юли, беше внедрена в задната врата, и потребителите ще бъдат измамени при изтегляне и обновяване до тази версия. Редакторът на ръмжене разпита наоколо, много приятели около него бяха засегнати, а вредата се оценяваше, иначе информацията за потребителското устройство може да бъде открадната.
Xshell е мощен софтуер за управление на сървърни терминали, който поддържа SSH1, SSH2, TELNET и други протоколи, разработен от чуждестранната компания NetSarang и има широка аудитория в кръговете на експлоатацията и поддръжката, уебмастърите и сигурността.
NetSarang издаде бюлетин за сигурност на 7 август, в който заяви, че наскоро обновеният (18 юли) софтуер Xmanager Enterprise, Xmanager, Xshell, Xftp и Xlpd има уязвимости в сигурността, и че служителят спешно ги е оправил на 5 август и е пуснал обновена версия. Не са открити уязвимости, които да са били използвани.
Засегнати версии на петте софтуера:
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Билд 1322
Xftp 5.0 Билд 1218
XLPD 5.0 Билд 1220
На 5 август петте софтуера пуснаха нови версии, а списъкът с промени беше почти същият, като всички споменаваха nssock2.dll на проследяващите съобщения и проблемните файлове за поправка на SSH канали:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang не обясни причината за уязвимостта, а според Roar вероятно компанията е претърпяла проникване и версията за пускане е била имплантирана в задна врата.
Roar редакторът научи, че някои домашни потребители са обновили до проблемната версия на Xshell, а улавянето на пакети установи, че nssock2.dll на тази версия изпраща неправилно оформена DNS заявка към непознато домейн име (*.nylalobghyhirgh.com). Въпросната версия nssock2.dll има официален подпис и е възможно нападателят да е откраднал подписа на NetSarang или да го е имплантирал директно на ниво изходен код.
План за поправка
NetSarang пусна фиксирана версия, а Roar препоръчва потребителите на продуктите на компанията да обновят до най-новата версия възможно най-скоро, а корпоративната мрежа да блокира домейн името *.nylalobghyhirgh.com.
|
Публикувано в 24.08.2017 г. 9:21:28 ч.
|
|
|
Публикувано в 25.03.2018 г. 23:34:43 ч.
|
