Tel :010-50866166

新闻报道

Xshell后门事件持续发酵,i春秋紧急复现真实实验场景!

近日,知名终端模拟软件 Xshell 被爆出多版本存在后门,恶意攻击者利用该后门可窃取用户服务器账号密码等信息,进一步可致使整个服务器被

近日,知名终端模拟软件 Xshell 被爆出多版本存在后门,恶意攻击者利用该后门可窃取用户服务器账号密码等信息,进一步可致使整个服务器被攻击。国内信息安全在线教育知名平台i春秋已经进行紧急响应,于8月18日发布真实实验场景,为大众复现了此次事件的实验环境,可以指引用户有效的发现后门并进行应急响应。

\

Xshell是一款十分强大的免费终端模拟软件,它支持SSH、SFTP、TELNET、RLOGIN和SERIAL等功能,被广泛地用于服务器运维和管理。服务器可用作提供网页服务、邮件服务、文件共享服务、打印共享服务、数据库服务等,应用范围非常广阔,是网络服务最重要的部分之一。

Xshell开发公司NetSarang近日发布公告称,2017年8月4日与卡巴斯基工程师发现Xshell软件中存在后门。在软件的开发阶段,程序员常常会在软件内创建后门程序,以便可以修改程序设计中的缺陷。但是,如果这些后门被其他人知道,或者在发布软件之前没有被删除后门程序,容易被不法分子当成漏洞进行攻击,用户们的服务器会面临严重的威胁。此次黑客似乎入侵了Xshell相关开发人员的电脑,在源码植入后门,导致官方版本也受到影响。并且由于dll文件已有官方签名,众多杀毒软件依据白名单机制没有报毒。根据本次威胁的严重程度和影响访问,在应急响应事件上可定级为II级(即重大网络与信息安全事件)。

i春秋实验部安全研究员指出,Xshell中用于网络通信的动态链接库是nssock2.dll,就是它被发现存在有后门类型的代码,dll本身有厂商合法的数据签名,这样众多依据白名单机制的杀毒软件并没有报毒,因此,面对Xshell的后门,应急响应的关键再于优先阻止隐私数据的进一步泄露,再处理掉本地后门。

本次受影响的版本:

Xmanager Enterprise 5.0 Build 1232

Xmanager 5.0 Build 1045

Xshell 5.0 Build 1322

Xftp 5.0 Build 1218

Xlpd 5.0 Build 1220

目前最新版本为Xshell 5 Build 1326,官方已经修复了该问题。如运维人员使用了受影响版本,i春秋实验部建议可使用以下方法应急响应:

1. 查询DNS访问日志(ipconfig/displaydns),确认主机是否已通过后门发送敏感信息;

2. 使用上网行为管理设备屏蔽与此域名通讯,隔绝后续信息的再传递;

3. 卸载相关受影响版本Xshell,升级至最新官方版本;

4. 修改服务器账号密码,避免已泄露数据带来二次破坏。

i春秋学院实验部已经在第一时间对这次爆出的后门进行了分析,并开展了真实场景的复现工作,现已将完整有效的自检、处理措施和实验场景制作成简明易懂的教学视频发布在i春秋官方网站。

\

据悉,nssock2.dll会根据系统时间不同,而生成不同的请求连接,i春秋发布的教学课程中还列举了接下来一年中,DGA算法生成的域名,屏蔽掉这些域名可以阻断数据的泄露,再及时升级版本,就可以进行较为彻底的防治。 

每一次网络安全威胁事件爆发后,i春秋团队都会不舍昼夜,第一时间应急响应,复现真实实验场景。我们深知只有了解危险,才能预防威胁,上线两年来,程序员、运维人员已经习惯了在i春秋自主学习、汲取能量、把知识转化为实际能力。未来,i春秋将继续以“培育信息时代的安全感”为使命,为大众打造更精美的课程,为守护公众互联网安全做出贡献。

视频地址:https://www.ichunqiu.com/course/58941