English日本語
Xshell，xftp蹬着秀免费软件是法式大牛、运维大拿们常用的网络治理、安全传输的工具。8月7日，Xshell开发公司NetSarang颁布安全布告：Xshell 在7月18日颁布的5.0 Build 1322官方版本存在安全缝隙，nssock2.dll ？樵绰氡恢踩牒竺。
鉴于这次后门可能导致用户信息泄露，泰合流安全团队实时在某内网A项目和某表网B项主张NBA（沙巴泰合流量分析）平台上创建“Xshell后门”分析规定，对dns信息中的“要求域名”字段与已界说的恶意域名nylalobghyhirgh.com进行匹配。在8月15日发现了A项主张Xshell后门告警，在8月22日发现了B项目上的Xshell后门踪影。
8月15日A项主张Xshell后门活动轨迹追踪：
1) 通过NBA设备，可查看到屡次告警，且每次告警都报送了屡次。
2) 对其中一条，如9点34分的告警发展后，可看到每次告警的具体功夫。
3) 拔取其中一条告警进行追忆，能够看到域名查问操作纪录为蕴含域名IOC的超长域名，此为后门软件利用DNS-Tunning隧路技术进行信息泄露。
4) 对此告警信息持续下钻后，可追忆到具体的流量数据，点击下载pcap包，可看到触发此告警的原始报文。
5) 通过IP以及MAC地址的追忆，追踪到使用Xshell的研发人员，经查看Xshell版本，的确为官方布告中有nssock2.dll缝隙的版本5.0.0026。
A项目急剧定位经验总结：A项目从发现告警到定位到问题主机仅仅几分钟，之所以能迅快定位到问题主机，一方面得益于威胁谍报的正确性，另一方面在于部署在内网的流量分析产品使用DPI技术获取到DNS关键域名信息，通过抓取到的原始报文包中的MAC地址和IP地址正确定位问题主机。
8月22日B项主张Xshell后门追踪溯源：
10.19.A.B到218.104.111.114告警追踪
1) 经运维人员排查，10.19.A.B上未发现Xshell软件，但是带有8月份恶意域名接见的报文就在面前，这是怎么回事呢 ？
2) 通过NBA设备查看 10.19.A.B的流量会话以及统计利用和谈情况，发现告警产生功夫的会话为：主张地址为218.104.111.114，主张端口为53，而218.104.111.114是联通运营商的DNS服务器，并且在进一步的流量梳理中发现，10.19.A.B是与联通DNS服务器交互量第二的主机，后经系统组确认10.19.A.B是内网的DNS服务器，而这次告警是此内网DNS服务器选取转发模式向上一级DNS服务器要求本地无法解析的域名而被触发的。
3) 那么在2017年8月22日18：20这个功夫，哪个IP向此内网DNS服务器发送了DNS域名解析要求呢 ？由于SOC部署在汇聚互换层，故通过现场已部署的SOC平台查问此台机械的DNS日志，定位到对应告警功夫的DNS接见纪录的IP为121.43.C.D，并与DNS服务器上面的数据进行了查对，定位到了问题主机。
10.19.A.B到218.104.111.114告警追踪
安全分析人员对192.168.E.F到4.2.2.1的接见进行Xshell后门验证，经验证192.168.E.F为接入路由器，而几台作开发运维用处的电脑通过此路由器接入XX网防火墙进走运维。由于做了NAT，未监测到私有IP地址，NBA设备抓到的是运维PC经NAT转换后的流量信息。后经证实，运维PC中存在一台机械运行5.0.0.26版本的Xshell，通过客户的共同将此台机械的Xshell进行了卸载和沉新装置。
B项目追踪总结：经过现场运维人员的共同，同时结合具体的告警信息，两个告警都定位到了具体的主机。沙巴流量分析产品NBA部署在主题互换机旁路，由于跨网段，跨防火墙的流量涉及到转IP地址转换、端口转换，导致在追踪定位过程中对精密化治理的要求更高。
（起源：沙巴）
Copyright ? 沙巴 版权所有 京ICP备05032414号 
京公网安备11010802024551号
