关于NetSarang公司Xshell等多种产品源码后门威胁监测和普查情况的安全公告

文章来源:       时间:2017年08月18日  点击次数:   [ 字体:  ]  

安全公告编号:CNTA-2017-0060

近期,国家信息安全漏洞共享平台(CNVD)收录了NetSarang公司旗下的Xmanager、Xshell等多种产品源码存在后门漏洞(CNVD-2017-21513)。综合利用该漏洞,攻击者可能会获取使用者主机或服务器的敏感信息,构成信息泄露和运行安全风险。根据CNCERT监测结果,互联网上有3.1万余台主机IP受到后门影响。

一、漏洞情况分析

Xshell 是一款应用广泛的终端软件,被广泛地用于服务器运维和管理,Xshell 支持 SSH,SFTP,TELNET,RLOGIN 和SERIAL 功能。Xmanager以及Xlpd、Xftp等为NetSarang公司旗下相关产品。

风险存在于Xshell、Xlpd、Xmanager、Xftp等软件安装目录下的用于网络通信的组件nssock2.dll 模块,其被发现加载了被标定为后门类型的代码(样本hash值为:97363d50a279492fda14cbab53429e75),导致敏感信息被泄露到攻击者所控制的控制服务器。根据分析,其加载的Shellcode代码会收集主机信息并通过DNS隧道进行数据传递。同时,后门控制者利用算法生成了对应的控制域名,其中当前的一个控制域名为nylalobghyhirgh.com。

CNVD对该漏洞的技术评级为“高危”。

二、漏洞影响范围

目前存在后门的版本及对应产品如下:Xshell Build 5.0.1322;Xshell Build 5.0.1325;Xmanager Enterprise 5.0 Build 1232;Xmanager5.0 Build 1045;Xftp 5.0 Build 1218;Xftp 5.0 Build 1221;Xlpd 5.0 Build 1220。根据CNVD秘书处普查结果,直接暴露在互联网上标定为启用Xshell/Xmanager服务的主机并不多(约1000余台IP),但有可能会广泛出现在企事业单位内部区域网络以及终端上。

根据国家互联网应急中心(CNCERT)监测结果,我国已有3.1万余个IP地址运行的Xshell等相关软件疑似存在后门,主要分布于广东(占谢谢20.39%)、上海(14.43%)、北京(12.69%)、福建(10.11%)等省市。

三、漏洞修复建议

目前厂商已经发布了最新版本修复了此漏洞,请及时更新:

https://www.netsarang.com/download/software.html

附:参考链接:

https://www.netsarang.com/news/security_exploit_in_july_18_2017_build.html

https://github.com/LucasHood001/xshell_nssock2.dll_malware (恶意样本)

http://www.cnvd.org.cn/flaw/show/CNVD-2017-21513

http://www.cert.org.cn/publish/main/9/2017/20170817205947269344161/20170817205947269344161_.html

注:CNVD技术组成员单位网神公司(奇虎360)、绿盟科技司、杭州安恒公司、恒安嘉新公司及时报告了相关分析结果。