De Xshell-versie van de backdoor is geïmplanteerd
Roar op 14 augustus werd de officiële versie van 5.0 Build 1322, uitgebracht door de bekende server terminal managementsoftware Xshell op 18 juli, in de backdeur geïmplanteerd, en gebruikers worden misleid bij het downloaden en updaten naar deze versie. De roar-editor informeerde rond, en veel vrienden om hem heen werden getroffen, en de schade werd beoordeeld of de gebruikersinformatie van het apparaat kon gestolen worden.
Xshell is een krachtige server terminal managementsoftware die SSH1, SSH2, TELNET en andere protocollen ondersteunt, ontwikkeld door het buitenlandse bedrijf NetSarang, en heeft een groot publiek in de kringen van operatie en onderhoud, webmasters en beveiliging.
NetSarang bracht op 7 augustus een beveiligingsbulletin uit waarin werd aangegeven dat de recent bijgewerkte (18 juli) Xmanager Enterprise, Xmanager, Xshell, Xftp en Xlpd software beveiligingslekken had, en dat de functionaris dit op 5 augustus met spoed had opgelost en een bijgewerkte versie had uitgebracht. Er zijn geen kwetsbaarheden gevonden die zijn uitgebuit.
Getroffen versies van de vijf software:
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Build 1322
Xftp 5.0 Build 1218
XLPD 5.0 Build 1220
Op 5 augustus brachten de vijf software nieuwe versies uit, en de wijzigingslijst was in feite hetzelfde, waarbij allemaal de nssock2.dll van trackingberichten en probleembestanden voor het repareren van SSH-kanalen werden genoemd:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang legde de oorzaak van de kwetsbaarheid niet uit, en volgens Roar is het waarschijnlijk dat het bedrijf een inbraak heeft gehad en dat de releaseversie in een achterdeur is geplaatst.
De roar-editor ontdekte dat sommige binnenlandse gebruikers hadden geüpdatet naar de Xshell-probleemversie, en de packet capture toonde aan dat de nssock2.dll van deze versie een verkeerd gevormde DNS-aanvraag naar een onbekende domeinnaam (*.nylalobghyhirgh.com) stuurde. De betreffende versie nssock2.dll een officiële handtekening, en het is mogelijk dat de aanvaller de handtekening van NetSarang heeft gestolen of deze direct op broncodeniveau heeft geïmplanteerd.
Fixplan
NetSarang heeft een vaste versie uitgebracht, en Roar raadt gebruikers van de producten van het bedrijf aan zo snel mogelijk bij te werken naar de nieuwste versie, zodat het enterprise-netwerk de *.nylalobghyhirgh.com domeinnaam kan blokkeren.
|
Geplaatst op 24-08-2017 09:21:28
|
|
|
Geplaatst op 25-03-2018 23:34:43
|
