Η Symantec προειδοποιεί για μια trojanized έκδοση του SSH/Telnet client PuTTY

[nnn]

Η Symantec προειδοποιεί τους χρήστες του open source SSH/Telnet/Serial console client PuTTY, για μια ανεπίσημη έκδοση η οποία έχει δημιουργηθεί από τον ανοικτά διαθέσιμο κώδικα του με ενσωματωμένο trojan, το οποίο υποκλέπτει πληροφορίες από όσους το χρησιμοποιούν.

Η κακόβουλη εκδοχή του PuTTY δεν φιλοξενείται στο επίσημο website, αλλά οι επιτιθέμενοι έχοντας προσβάλει ένα τρίτο site ανακατευθύνουν τους χρήστες στην δική τους πειραγμένη έκδοση.

Σύμφωνα με την ανάλυση της Symantec το Trojanized PuTTY πρωτοεμφανίστηκε το 2013 σε δείγματα που ανέβηκαν στο Virus Total, αλλά μόλις πρόσφατα άρχισε η ευρεία διάδοση του.

Unofficial Trojanized PuTTY
Based on the compile date of the malicious version of PuTTY and our own telemetry, this file has been in the wild since late 2013 and it was first seen in Virus Total around the same time. However, we have only seen this sample broadly distributed recently. Distribution in 2013 was minimal, and we saw a gap of a year and a half before it reappeared again. It can be surmised that the author of the malware was performing tests to see which specific scanners would detect this file.

Our telemetry reveals that the current distribution of the Trojanized version of PuTTY is not widespread and is not specific to one region or industry.

The distribution of this malware appears to occur in the following manner:

• The victim performs a search for PuTTY on a search engine.
• The search engine provides multiple results for PuTTY. Instead of selecting the official home page for PuTTY, the victim unknowingly selects a compromised website.
• The compromised website redirects the user several times, ultimately connecting them to an IP address in the United Arab Emirates. This site provides the user with the fake version of PuTTY to download.
• There is evidence to show users that the Trojanized version of PuTTY is suspicious, as the file is much larger in size than the latest official release. If users are not paying attention to the program’s file size, they may accidentally end up using the malicious version.

PuTTY typically uses the standard SSH URL format for a connection:

“ssh://[USER NAME]:[PASSWORD]@[HOST NAME]:[PORT NUMBER]”

However, we found that whenever the malicious version of PuTTY successfully connects to a host, it copies the connection SSH URL, encodes the URL with Base64 web safe, and sends a ping containing this string to the attacker’s web server.

With these credentials, the attackers can make a connection to the server. This particular attack method, using PuTTY as an example, has been blogged about before.

This is not the first time that these attackers have made a Trojanized version of an open source program to steal information. Last year, the same attackers created a malicious version of the File Transfer Protocol (FTP) client, FileZilla, in order to steal victims’ information.

Πηγή : Symantec Security Response Blog

[DVader]

Τι λες τώρα .... Θέλει προσοχή λοιπόν !

[aiolos.01]

Δε συμβαίνει κάτι ειδικό με το putty. Ότι και να κατεβάσεις πρέπει να προσέξεις απο που το βρήκες.

[Nikiforos]

Καλημερα! κατι παρομοιο θυμαμαι είχε γινει και με το filezilla....γιαυτο αυτες τις εφαρμογες πρεπει να τις κατεβαζουμε μονο απο τις επισημες σελιδες τους και οχι απο του καθε "μπαρμπα μητσου".

[Φιλόσοφος_Στ@ρχίδας]

Σε plaintext στέλνει τα passwords το PuTTY;

[bill2003]

Είναι σαν να πάρεις τσάντα louis vuitton από πλανόδιο και μετά να πέφτεις από τα σύννεφα όταν σου λένε ότι δεν είναι αυθεντική!

@gioannou: Προφανώς και δε στέλνονται plain text!
http://stackoverflow.com/questions/6...text-sniffable

[dmans1]

Σε plaintext στέλνει τα passwords το PuTTY;

Δεν τα στέλνει plainext, ο χρήστης γράφει σε plaintext

[manicx]

Η απάντηση είναι KiTTY. Εγώ με αυτό κάνω παιχνίδι πλέον.

[DVader]

Η απάντηση είναι KiTTY. Εγώ με αυτό κάνω παιχνίδι πλέον.

ΠΡοσπθαησα να το κατεβάσω αλλά μου ζήτησε donate !

Εγώ εδώ και καιρό δουλεύω μονάχα με εκδόσεις του Putty που ήδη κατεβάσει !

Προς ξέρω ότι το original site είναι όντως oroginal και όχι κοπια του αυθεντικού !

[manicx]

Ανοίγει δύο παράθυρα. Από το fosshub κατεβάζεις.

[tsigarid]

Εδώ και καιρό έχω εγκαταλείψει το putty και χρησιμοποιώ cygwin. Απλά κορυφαίο.

[GoofyX]

Off Topic

Εδώ και καιρό έχω εγκαταλείψει το putty και χρησιμοποιώ cygwin. Απλά κορυφαίο.

Δεν είναι overkill για ένα απλό ssh...;

[tsigarid]

Off Topic

Δεν είναι overkill για ένα απλό ssh...;

Αν θες και X-display, όχι.

[DVader]

Αν θες και X-display, όχι.

Πως δουλεύει αυτό για SSH ?

[tsigarid]

Πως δουλεύει αυτό για SSH ?

http://x.cygwin.com/

Έχει πολύ απλές οδηγίες εγκατάστασης. Το cygwin terminal είναι το putty-like που θες.