安全公告编号:CNTA-2017-0060

近期，国家信息安全漏洞共享平台（CNVD）收录了NetSarang公司旗下的Xmanager、Xshell等多种产品源码存在后门漏洞（CNVD-2017-21513）。综合利用该漏洞，攻击者可能会获取使用者主机或服务器的敏感信息，构成信息泄露和运行安全风险。根据CNCERT监测结果，互联网上有3.1万余台主机IP受到后门影响。

一、漏洞情况分析

Xshell 是一款应用广泛的终端软件，被广泛地用于服务器运维和管理，Xshell 支持 SSH，SFTP，TELNET，RLOGIN 和SERIAL 功能。Xmanager以及Xlpd、Xftp等为NetSarang公司旗下相关产品。

风险存在于Xshell、Xlpd、Xmanager、Xftp等软件安装目录下的用于网络通信的组件nssock2.dll 模块，其被发现加载了被标定为后门类型的代码（样本hash值为：97363d50a279492fda14cbab53429e75），导致敏感信息被泄露到攻击者所控制的控制服务器。根据分析，其加载的Shellcode代码会收集主机信息并通过DNS隧道进行数据传递。同时，后门控制者利用算法生成了对应的控制域名，其中当前的一个控制域名为nylalobghyhirgh.com。

CNVD对该漏洞的技术评级为“高危”。

二、漏洞影响范围

目前存在后门的版本及对应产品如下：Xshell Build 5.0.1322；Xshell Build 5.0.1325；Xmanager Enterprise 5.0 Build 1232；Xmanager5.0 Build 1045；Xftp 5.0 Build 1218；Xftp 5.0 Build 1221；Xlpd 5.0 Build 1220。根据CNVD秘书处普查结果，直接暴露在互联网上标定为启用Xshell\Xmanager服务的主机并不多（约1000余台IP），但有可能会广泛出现在企事业单位内部区域网络以及终端上。

根据国家互联网应急中心（CNCERT）监测结果，我国已有3.1万余个IP地址运行的Xshell等相关软件疑似存在后门，主要分布于广东（占谢谢20.39%）、上海(14.43%)、北京(12.69%)、福建(10.11%)等省市。

三、漏洞修复建议

目前厂商已经发布了最新版本修复了此漏洞，请及时更新：

https://www.netsarang.com/download/software.html

附：参考链接：

https://www.netsarang.com/news/security_exploit_in_july_18_2017_build.html

https://github.com/LucasHood001/xshell_nssock2.dll_malware （恶意样本）

http://www.cnvd.org.cn/flaw/show/CNVD-2017-21513

http://www.cert.org.cn/publish/main/9/2017/20170817205947269344161/20170817205947269344161_.html

注：CNVD技术组成员单位网神公司（奇虎360）、绿盟科技司、杭州安恒公司、恒安嘉新公司及时报告了相关分析结果。