2017.08.08 Netsarang 원격접속 소프트웨어 변조

1.개요

• 넷사랑컴퓨터社 Xmanager, Xshell, Xftp, Xlpd 제품에서 사용하는 DLL 파일이 악성으로 변조되어 배포됨에 따라 사용자의 주의 및 긴급 패치 필요

2. 내용

• 상세내용

• '17년 7월 18일 넷사랑컴퓨터社에서 배포한 소프트웨어에 변조된 악성 DLL 파일이 포함
  유관기관(KISA 등) 및 관련업체(카스퍼스키 등) 협조를 통해 상세 정보 파악중에 있으면 결과는 추후 공지 예정

• 악성 파일 정보
  악성 DLL 파일 포함 제품

제품명	파일명	생성날짜	파일크기
Xmanager Enterprise 5 Build 1232	Xme5.exe	2017-07-17	55.08 MB
Xmanager 5 Build 1045	Xmgr5.exe		46.20 MB
Xshell 5 Build 1322	Xshell5.exe		31.58 MB
Xftp 5 Build 1218	Xftp5.exe		30.70 MB
Xlpd 5 Build 1220	Xlpd5.exe		30.22 MB

 

- Xmamager Enterprise 5 : 통합 보안 연결 솔루션
- Xmanager 5 : 강력한 PC X 서버
- Xshell 5 : 터미널연결 솔루션의 표준
- Xftp 5 : 편리한 파일 전송 프로그램
- Xlpd 5 : 원도우용 LPD 프린터 서버

• 악성 DLL 파일

배포기간	2017-07-17 ~ 2017-08-05
배포방식	홈페이지 및 자동 업데이트(사용자 설정에 따라 다름)
디렉토리	C:Program Files (x86)NetSarangXshell 5
파일명	nssock2.dll
MD5	97363d50a279492fda14cbab53429e75
SHA1	f1a181d29b38dfe60d8ea487e8ed0ef30f064763
SHA256	462a02a8094e833fd456baf0a6d4e18bb7dab1a9f74d5f163a8334921a4ffde8
빌드시기	2017-07-13 01:23:01

 

• 증상 및 동작 내용
  악성 DLL 파일 내부에는 암호화된 추가 코드가 존재하며 복호화 후 실행됨
  복호화 코드는 추가 파일 다운로드, 프로세스 실행 등의 기능 수행