AG公司云
NetSarang软件中nssock2.dll� ？楸恢踩攵褚獯胧忠掌饰鲇敕阑ぜ苹�
2017-08-15
NetSarang是一家提供清静毗连解决计划的公司，该公司的产品主要包括Xmanager Xmanager 3D Xshell Xftp和Xlpd。最近，官方在2017年7月18日宣布的软件被发明有恶意后门代码，该恶意的后门代码保存于有正当署名的nssock2.dll� ？橹�。从后门代码的剖析来看，该代码是由于攻击者入侵的开发者的主机或者编译系统并向源码中插入后门导致的。该后门代码可导致用户远程登录的信息泄露，甚至可能远程执行代码。
Virustotal在线检测情形：
由剖析效果可以知道，nssock2.dll已经被多家杀毒软件识别为恶意的程序。
相关地点：
https://www.netsarang.com/news/security_exploit_in_july_18_2017_build.html
https://www.virustotal.com/#/file/462a02a8094e833fd456baf0a6d4e18bb7dab1a9f74d5f163a8334921a4ffde8/detection
受影响的版本
· Xshell Build 1322
· Xshell Build 1325
· Xmanager Enterprise Build 1232
· Xmanager Build 1045
· Xmanager Build 1048
· Xftp Build 1218
· Xftp Build 1221
· Xlpd Build 1220
不受影响的版本
· Xmanager Enterprise Build 1236
· Xmanager Build 1049
· Xshell Build 1326
· Xftp Build 1222
· Xlpd Build 1224
软件下载情形
保存后门的软件在海内的下载情形：
· Xmanager：
· Xshell：
手艺剖析
概述
NetSarang的主要软件版本中发明nssock2.dll� ？榈墓俜皆绰胫斜恢踩攵褚夂竺糯�。据悉，是黑客渗透到了开发的机械，然后在代码中加入了恶意的代码到官方的源代码中，以下为恶意代码剖析。
参考：https://www.virustotal.com/#/user/jumze/comments
撒播与熏染
用户直接下载或软件捆绑下载。
样天职析
剖析情形
|
系统 |
Windows 7 32bit |
|
使用工具 |
ProcessMonitor Xuetr Wireshark OllyDBG IDA CuteFTP |
TAC检测效果：
图 TAC检测效果
主要功效
[1]信息窃�。夯袢∧拷衽趟慊坪湍拷裼没�；
[2]远程控制：代码中已经实现，但由于服务器不存活，导致数据无法解密执行；
[3]网络行为：IP:8.8.8.8、8.8.4.4、4.2.2.2、4.2.2.1、目今盘算机设置的DNS服务器地点; 向dns服务器发送dns包。
HOST: nylalobghyhirgh.com; 样本将网络的信息上传到上述服务器；
该恶意后门植入nssock2.dll� ？榈脑绰胫�，是一段被加密的shellcode。
这段shellcode被添加了一定量的花指令，刻意增添剖析难度，去除花指令以后，可以发明其建设了一块内存区，解密代码并执行。
新代码段中，样本建设了一个线程，之后就回到正常的程序流程中，使得用户很难发明自己所使用的产品中保存后门。
在线程函数中，我们可以看到，样本在一直的获取系统时间，凭证系统时间的差别，盘算出差别的域名。下图为2017年9月天生的域名：
我们通过修改系统时间获取到的域名情形如下：
|
时间 |
对应域名 |
|
2017-06 |
vwrcbohspufip.com |
|
2017-07 |
ribotqtonut.com |
|
2017-08 |
nylalobghyhirgh.com |
|
2017-09 |
jkvmdmjyfcvkf.com |
|
2017-10 |
bafyvoruzgjitwr.com |
|
2017-11 |
xmponmzmxkxkh.com |
|
2017-12 |
tczafklirkl.com |
接着代码会获取目今盘算机的名称和盘算机用户名信息。
经由如下算法加密后（输入参数为a1a2a3a4。a1=0，a3=0x2D（用户数据的长度），a2=存放用户数据的地点，a4=存放加密后的数据的地点）：
效果如下：
然后再将效果举行加密
获得最终加密效果并且发送dns剖析请求，将加密后的数据缀在域名前发送给攻击者：
通过此种要领举行发送，具有极高的隐藏性。
我们还发明，在代码执行的历程当中，仍保存一段加密代码，需要从服务器端获取密钥来举行解密，目今情形下已无法举行解密。(密钥存储在a1，a2，挪用时传入的参数为a3，同样是从服务器获取)
网络行为
实验对这几个地点举行毗连8.8.8.8、8.8.4.4、4.2.2.2、4.2.2.1、目今情形下的DNS服务器地点。
凭证时间差别，毗连域名也差别。
若是毗连域名乐成，则将搜集到的信息发送出去，方法为通过DNS请求将数据重定向到攻击者自己的域名服务器。
启动方法
用户下载xshell并自动运行。
攻击定位
通过对该样本的网络行为举行简朴的跟踪，发明报告中8月份的域名在whois中盘问到的信息如下：
其他信息被申请者隐藏。
防护计划
用户自查
用户可通过审查nssock2.dll的版原来确定是否受此影响：
在软件装置目录下找到nssock2.dll文件，右键该文件审查属性，若是版本号为5.0.0.26则保存后门代码：
官方解决计划
用户可通过审查的nssock2.dll的版本号的要领来确定是否使用含有后门的软件版本，若是用户正在使用以上受影响的软件版本，请升级到最新版本。官方在最新的软件版本中已经移除了该后门代码，最新的软件版天职别为：
· Xmanager Enterprise Build 1236
· Xmanager Build 1049
· Xshell Build 1326
· Xftp Build 1222
· Xlpd Build 1224.
官方下载地点如下：
https://www.netsarang.com/download/software.html
手艺防护计划
产品类
? 若是您不清晰是否受此误差影响：
1、内网资产可以使用AG公司科技的远程清静评估系统(RSASV6)举行检测。
远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsas
2、AG公司威胁剖析系统(TAC)可以举行检测。
http://update.nsfocus.com/update/listTac
通过上述链接，升级至最新版本即可举行检测！
? 使用AG公司科技防护类产品（IPS/IDS/NF）举行防护：
入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
通过上述链接，升级至最新版本即可举行防护！
服务类
AG公司科技提供专业的清静手艺服务，全方位的包管客户应用系统清静，阻止受此误差影响。
? 短期服务：我们可以提供应急服务，服务内容包括对客户应用系统有针对性的提供修复建议，包管客户系统的清静升级。
? 中恒久服务：团结AG公司科技检测与防护产品，提供7*24的清静运营服务，在客户应用系统遭到清静威胁时第一时间通知客户，并按期举行清静检测，针对清静危害提供专业的解决计划。
