Wbudowana jest wersja backdoor w Xshell
Roar 14 sierpnia oficjalna wersja 5.0 Build 1322, wydana przez znane oprogramowanie do zarządzania terminalami serwerowymi Xshell 18 lipca, została wszczepiona do tylnego wejścia, a użytkownicy zostaną oszukani podczas pobierania i aktualizacji do tej wersji. Redaktor Roar zapytał innych, a wielu znajomych wokół niego zostało dotkniętych, a szkody były oceniane lub informacje o urządzeniu użytkownika mogły zostać skradzione.
Xshell to zaawansowane oprogramowanie do zarządzania terminalami serwerowymi, które obsługuje protokoły SSH1, SSH2, TELNET i inne, opracowane przez zagraniczną firmę NetSarang, które ma szerokie grono odbiorców w środowiskach operacyjnych i konserwacyjnych, webmasterów oraz bezpieczeństwa.
NetSarang wydał 7 sierpnia biuletyn bezpieczeństwa, informując, że jego niedawno zaktualizowane (18 lipca) oprogramowanie Xmanager Enterprise, Xmanager, Xshell, Xftp i Xlpd posiada luki bezpieczeństwa, a urzędnik pilnie naprawił je 5 sierpnia i wydał zaktualizowaną wersję. Nie znaleziono żadnych luk w zakresie wykorzystywania.
Dotknięte wersje pięciu programów:
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xshell 5.0 Build 1322
Xftp 5.0 Build 1218
Xlpd 5.0 Build 1220
5 sierpnia pięć programów wydało nowe wersje, a changelog pozostał praktycznie taki sam, wszystkie wspominały o nssock2.dll komunikatów śledzących i plików problemowych do naprawy kanałów SSH:
FIX: Unnecessary SSH channel trace messagesFIX: Patched an exploit related to nssock2.dll
NetSarang nie wyjaśnił przyczyny tej podatności, a według Roar prawdopodobnie firma została włamana, a wersja wydana została wszczepiona w tylne drzwi.
Edytor roar dowiedział się, że niektórzy użytkownicy domowi zaktualizowali do wersji problemowej Xshell, a przechwytywanie pakietów wykazało, że nssock2.dll tej wersji wysyła zniekształcone żądanie DNS do nieznanej domeny (*.nylalobghyhirgh.com). Wersja, o której mowa nssock2.dll ma oficjalny podpis i możliwe, że atakujący ukradł podpis NetSarang lub wszczepił go bezpośrednio na poziomie kodu źródłowego.
Plan poprawy
NetSarang wydał wersję naprawioną, a Roar zaleca, aby użytkownicy produktów firmy jak najszybciej zaktualizowali ją do najnowszej wersji, a sieć korporacyjna może zablokować domenę *.nylalobghyhirgh.com.
|
Opublikowano 24.08.2017 09:21:28
|
|
|
Opublikowano 25.03.2018 23:34:43
|
