運(yùn)維的同學(xué)們對(duì)Xshell再熟悉不過(guò)了。這款強(qiáng)大,著名的終端模擬軟件，被廣泛的用于服務(wù)器運(yùn)維和管理，支持SSH，SFTP，TELNET，RLOGIN和SERIAL功能。它提供業(yè)界領(lǐng)先的性能和強(qiáng)大功能，在免費(fèi)終端模擬軟件中有著不可替代的地位。企業(yè)版中擁有更專(zhuān)業(yè)的功能其中包括:標(biāo)簽式的環(huán)境，動(dòng)態(tài)端口轉(zhuǎn)發(fā)，自定義鍵映射，用戶(hù)定義按鈕，VB腳本和用于顯示2 byte字符和支持國(guó)際語(yǔ)言的UNICODE終端。
Xshell提供許多用戶(hù)友好的，在其他終端終端模擬軟件沒(méi)有的功能。這些功能包括:通過(guò)拖放文件進(jìn)行Zmodem文件上傳和Zmodem文件下載，簡(jiǎn)易模式，全屏模式，透明度選項(xiàng)和自定義布局模式,等。使用Xshell執(zhí)行終端任務(wù)節(jié)省時(shí)間和精力。
遭遇“后門(mén)事件”
日前，某安全公司發(fā)現(xiàn)NetSarang的Xmanager, Xshell, Xftp, Xlpd等產(chǎn)品中，發(fā)布的nssock2.dll模塊中存在惡意代碼，在Xshell 5.0.1322和Xshell 5.0.1325兩個(gè)版本中均已確認(rèn)惡意代碼存在。
通過(guò)行為分析發(fā)現(xiàn)后門(mén)會(huì)對(duì)一個(gè)箱子域名“nylalobghyhirgh.com”發(fā)起請(qǐng)求。該域名開(kāi)啟了隱私保護(hù)，且只能查詢(xún)到NS記錄
此外，該域名還會(huì)向多個(gè)超長(zhǎng)域名做滲出，且域名采用了DGA生成算法，通過(guò)DNS解析時(shí)滲出數(shù)據(jù)。
后門(mén)執(zhí)行基本流程：
Xshell相關(guān)的用于網(wǎng)絡(luò)通信的組件nssock2.dll被發(fā)現(xiàn)存在后門(mén)類(lèi)型的代碼，DLL本身有廠(chǎng)商合法的數(shù)字簽名，但已經(jīng)被多家安全廠(chǎng)商標(biāo)記為惡意。
每個(gè)月通過(guò)特定算法生成一個(gè)新的控制域名，目前部分已經(jīng)被作者注冊(cè)
存在后門(mén)的版本
現(xiàn)已證實(shí)一下版本存在后門(mén)，各位看清楚啦：
Xshell Build 5.0.1322
Xshell Build 5.0.1325
Xmanager Enterprise 5.0 Build 1232
Xmanager 5.0 Build 1045
Xftp 5.0 Build 1218
Xftp 5.0 Build 1221
Xlpd 5.0 Build 1220
注：國(guó)內(nèi)大量下載站點(diǎn)上的版本，目前都是上述有問(wèn)題的版本
行為特征：
存在后門(mén)的版本會(huì)向nylalobghyhirgh.com發(fā)起請(qǐng)求，一天的訪(fǎng)問(wèn)量超過(guò)800萬(wàn)...除了官方版本強(qiáng)制更新，恐怕也找不到其他途徑有這么多的量了
域名whois信息，該域名開(kāi)啟了隱私保護(hù)。數(shù)據(jù)傳輸疑似通過(guò)DNS外帶。
沒(méi)有問(wèn)題的版本
Xmanager Enterprise Build 1236
Xmanager Build 1049
Xshell Build 1326
Xftp Build 1222
Xlpd Build 1224
解決方法
去官網(wǎng)網(wǎng)站下載更新最新版本
如果之前是從有問(wèn)題版本升級(jí)到最新的，有可能信息已經(jīng)泄露，保險(xiǎn)起見(jiàn)建議修改密碼，目前僅能證明該程序獲取了（用戶(hù)名、主機(jī)名、網(wǎng)絡(luò)信息等），其他信息還在進(jìn)一步核實(shí)。
NetSarang官方回復(fù)
“1322版本存在后門(mén)。我們發(fā)布了1326版本修復(fù)了這個(gè)后門(mén)問(wèn)題。請(qǐng)立即更新避免繼續(xù)受到該問(wèn)題的影響”：
