此页面上的内容需要较新版本的 Adobe Flash Player。

获取 Adobe Flash Player

预警信息
当前位置: 首页 预警信息
名称:  关于NetSarang公司Xshell等多种产品源码后门威胁监测和普查情况的安全公告
索引:  K08260953/2017-02767 发布机构:  吉林省通信管理局办公室
生成日期:  2017-8-30 9:29:39 文号:  
信息分类:   关键词:  
内容概述:  关于NetSarang公司Xshell等多种产品源码后门威胁监测和普查情况的安全公告
关于NetSarang公司Xshell等多种产品源码后门威胁监测和普查情况的安全公告
发布时间:2017-8-30 9:29:39  

  国家信息安全漏洞共享平台(CNVD)收录了NetSarang公司旗下的Xmanager、Xshell等多种产品源码存在后门漏洞(CNVD-2017-21513)。综合利用该漏洞,攻击者可能会获取使用者主机或服务器的敏感信息,构成信息泄露和运行安全风险。根据CNCERT监测结果,互联网上有3.1万余台主机IP受到后门影响。
  一、漏洞情况分析
  Xshell 是一款应用广泛的终端软件,被广泛地用于服务器运维和管理,Xshell 支持 SSH,SFTP,TELNET,RLOGIN 和SERIAL 功能。Xmanager以及Xlpd、Xftp等为NetSarang公司旗下相关产品。
  风险存在于Xshell、Xlpd、Xmanager、Xftp等软件安装目录下的用于网络通信的组件nssock2.dll 模块,其被发现加载了被标定为后门类型的代码(样本hash值为:97363d50a279492fda14cbab53429e75),导致敏感信息被泄露到攻击者所控制的控制服务器。根据分析,其加载的Shellcode代码会收集主机信息并通过DNS隧道进行数据传递。同时,后门控制者利用算法生成了对应的控制域名,其中当前的一个控制域名为nylalobghyhirgh.com。
  CNVD对该漏洞的技术评级为“高危”。
  二、漏洞影响范围
  目前存在后门的版本及对应产品如下:Xshell Build 5.0.1322;Xshell Build 5.0.1325;Xmanager Enterprise 5.0 Build 1232;Xmanager5.0 Build 1045;Xftp 5.0 Build 1218;Xftp 5.0 Build 1221;Xlpd 5.0 Build 1220。根据CNVD秘书处普查结果,直接暴露在互联网上标定为启用Xshell\Xmanager服务的主机并不多(约1000余台IP),但有可能会广泛出现在企事业单位内部区域网络以及终端上。
  根据国家互联网应急中心(CNCERT)监测结果,我国已有3.1万余个IP地址运行的Xshell等相关软件疑似存在后门,主要分布于广东(占谢谢20.39%)、上海(14.43%)、北京(12.69%)、福建(10.11%)等省市。
  三、漏洞修复建议
  目前厂商已经发布了最新版本修复了此漏洞,请及时更新:
  
https://www.netsarang.com/download/software.html
  附:参考链接:
  
https://www.netsarang.com/news/security_exploit_in_july_18_2017_build.html
  
https://github.com/LucasHood001/xshell_nssock2.dll_malware (恶意样本)
  
http://www.cnvd.org.cn/flaw/show/CNVD-2017-21513
  
http://www.cert.org.cn/publish/main/9/2017/20170817205947269344161/20170817205947269344161_.html