Xshell-versionen af bagdøren er implanteret
Roar den 14. august blev den officielle version af 5.0 Build 1322, udgivet af den velkendte serverterminalstyringssoftware Xshell den 18. juli, implanteret i bagdøren, og brugerne vil blive narret, når de downloader og opdaterer til denne version. Roar-redaktøren spurgte rundt, og mange venner omkring ham blev påvirket, og skaden blev vurderet, eller brugerens enhedsoplysninger kunne blive stjålet.
Xshell er en kraftfuld serverterminalstyringssoftware, der understøtter SSH1, SSH2, TELNET og andre protokoller, udviklet af det udenlandske firma NetSarang, og har et stort publikum inden for drift og vedligeholdelse, webmastere og sikkerhed.
NetSarang udsendte en sikkerhedsbulletin den 7. august, hvor de oplyste, at deres nyligt opdaterede (18. juli) Xmanager Enterprise, Xmanager, Xshell, Xftp og Xlpd-software havde sikkerhedssårbarheder, og at embedsmanden hurtigt havde løst det den 5. august og udgivet en opdateret version. Der er ikke fundet nogen sårbarheder, der er blevet udnyttet.
Berørte versioner af de fem softwarer:
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Build 1322
Xftp 5.0 Build 1218
XLPD 5.0 Build 1220
Den 5. august udgav de fem programmer nye versioner, og ændringsloggen var stort set den samme, alle nævnte nssock2.dll med sporingsbeskeder og problemfiler til at rette SSH-kanaler:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang forklarede ikke årsagen til sårbarheden, og ifølge Roar er det sandsynligt, at virksomheden blev udsat for en indtrængen, og at udgivelsesversionen blev implanteret i en bagdør.
Roar-editoren fandt ud af, at nogle indenlandske brugere opdaterede til Xshell-problemversionen, og pakkefangsten viste, at nssock2.dll af denne version sendte en fejlagtig DNS-forespørgsel til et ukendt domænenavn (*.nylalobghyhirgh.com). Den pågældende version nssock2.dll en officiel signatur, og det er muligt, at angriberen stjal NetSarangs signatur eller implanterede den direkte på kildekodeniveau.
Fixeringsplan
NetSarang har udgivet en fast version, og Roar anbefaler, at brugere af virksomhedens produkter opdaterer til den nyeste version så hurtigt som muligt, og at virksomhedens netværk kan blokere *.nylalobghyhirgh.com-domænenavnet.
|
Opslået på 24/08/2017 09.21.28
|
|
|
Opslået på 25/03/2018 23.34.43
|
