银行和能源公司使用的软件被发现植入后门

从 7 月 17 日到 8 月 4 日，NetSarang 公司销售的五款服务器或网络管理产品被秘密植入了被称为 ShadowPad 的后门。这些产品被数百家银行、能源公司和制药公司使用。这不是第一次上游产品被植入后门，今年早些时候乌克兰会计软件开发商的一款产品就被植入后门传播了 NotPetya 恶意程序。五款受影响的 NetSarang 产品包括了 Xmanager Enterprise 5.0、Xmanager 5.0、Xshell 5.0、Xftp 5.0 和 Xlpd 5.0，如果你在此期间更新过软件，那么最好立即去下载新版本。后门存在于修改版的 nssock2.dll 文件中，该文件使用了 NetSarang 的合法证书签名。该后门是卡巴斯基研究人员发现的，卡巴斯基的银行业合作伙伴在发现执行交易的机器在查询可疑域名后通知了该公司，卡巴斯基随后的调查发现了该后门。这家受影响的企业位于香港。NetSarang 接到通知后证实它的基础设施遭到入侵，因而创建了一个全新的独立基础设施，在每个设备接入到新基础设施前将进行清除、检查和白名单，这一过程预计需要几周时间。卡巴斯基称，植入的代码可以充当模块化的后门平台，能根据 CC 服务器指令下载和执行任意代码。目前还不清楚谁创建了后门，又是如何入侵 NetSarang 的。研究人员怀疑攻击者说中文。