Verze backdoor pro Xshell je implantována
Roar 14. srpna byla oficiální verze 5.0 Build 1322, kterou 18. července vydal známý software pro správu serverových terminálů Xshell, implantována do zadních vrátek a uživatelé budou při stahování a aktualizaci na tuto verzi oklamáni. Redaktor Roar se ptal kolem, mnoho jeho přátel bylo ovlivněno, škody se posuzovaly nebo mohly být ukradeny informace o uživatelském zařízení.
Xshell je výkonný software pro správu serverových terminálů, který podporuje SSH1, SSH2, TELNET a další protokoly, vyvinutý zahraniční společností NetSarang, a má široké publikum v oblastech provozu a údržby, webmasterů a bezpečnosti.
NetSarang vydal 7. srpna bezpečnostní bulletin, v němž uvedl, že jeho nedávno aktualizovaný (18. července) software Xmanager Enterprise, Xmanager, Xshell, Xftp a Xlpd má bezpečnostní zranitelnosti, a že je 5. srpna naléhavě opravil a vydal aktualizovanou verzi. Nebyly nalezeny žádné zranitelnosti, které by byly zneužity.
Dotčené verze těchto pěti programů:
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Build 1322
Xftp 5.0 Build 1218
Xlpd 5.0 Build 1220
Dne 5. srpna vydalo všech pět verzí nových verzí a changelog byl v podstatě stejný, všechny zmiňovaly nssock2.dll sledovacích zpráv a problémových souborů pro opravu SSH kanálů:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang nevysvětlil příčinu zranitelnosti a podle Roaru je pravděpodobné, že společnost utrpěla narušení a verze vydání byla implantována zadními vrátky.
Editor roaru zjistil, že někteří domácí uživatelé aktualizovali na problém Xshell, a zachycení paketů zjistilo, že nssock2.dll této verze odesílá nesprávně zformovaný DNS požadavek na neznámou doménu (*.nylalobghyhirgh.com). Zmíněná verze nssock2.dll má oficiální podpis a je možné, že útočník ukradl podpis NetSarangu nebo jej implantoval přímo na úrovni zdrojového kódu.
Fix plán
NetSarang vydal opravenou verzi a Roar doporučuje, aby uživatelé produktů této společnosti co nejdříve aktualizovali na nejnovější verzi, přičemž podniková síť může doménu *.nylalobghyhirgh.com zablokovat.
|
Zveřejněno 24.08.2017 9:21:28
|
|
|
Zveřejněno 25.03.2018 23:34:43
|
