中文版putty后门事件分析

2012年02月01日 17:45 

 

感谢lszm的投递
近几日，中文版putty等SSH远程管理工具被曝出存在后门，该后门会自动 窃取管理员所输入的SSH用户名与口令，并将其发送至指定服务器上。知道创宇安全研究小组在第一时间获取该消息后，对此次事件进行了跟踪和分析。根据分 析，此次事件涉及到来自putty.org.cn、putty.ws、winscp.cc和sshsecure.com站点的中文版putty、 WinSCP、SSHSecure和psftp等软件，而这些软件的英文版本不受影响。

1．时间线

1月25日：新浪微博有网友发布消息称putty和winscp中装有后门程序，但该条微博并未提及后门程序的类型及其技术细节，而且消息也未被过多的人所重视，目前无法确定该条微博是否与此次事件有关联：

 

1月30日下午16点左右：互联网上再度出现关于中文版putty等SSH管理软件被装有后门的消息，并且此消息对后门的行为特征进行了简要的描述 —— 该程序会导致root密码丢失，但发布者仍未披露具体的技术细节：

 

以上微博的短URL所对应的文章截图如下：

 1月31日：经过一晚的酝酿，putty事件开始在互联网上广泛传播，微博、论坛等信息发布平台上开始大量出现putty后门事件的消息，同时，很多技术人员也开始对含有后门的putty等SSH管理软件进行技术分析，并陆续发布其中的技术细节。

2．事件分析

2.1问题软件源头

知道创宇安全研究团队在获取信息后，第