XZ后门检测工具和脚本最新汇总
内容提要
2024年3月，Linux流行压缩工具xzUtils曝出名为“XZ后门”的恶意软件，允许攻击者绕过秘密访问全球运行Linux的关键基础设施系统并执行任意命令。受影响的Linux发行版本包括Debian、Ubuntu、Fedora、CentOS等。全球安全社区推出了多种检测工具和脚本，如Freund检测脚本、Binarly在线扫描工具、Bitdefender扫描工具、YARA规则、XZ-Hunter扫描工具。
延伸解读
影响范围与版本核查要点
XZ后门主要影响xzUtils 5.6.0和5.6.1版本，且集中在测试、不稳定或实验性发行版中。Red Hat确认Fedora Rawhide和Fedora 40 beta受影响，但RHEL不受影响；Debian稳定版安全，测试/不稳定/实验版需更新；openSUSE Tumbleweed和MicroOS在3月7日至28日间的更新可能包含后门；Kali Linux在3月26日至29日更新会受影响；Arch Linux部分镜像和安装介质也含问题版本。Ubuntu、Linux Mint、Gentoo、Amazon L
检测工具的选择与使用场景
安全社区提供了多种检测工具，各有侧重。Freund脚本可检查SSH二进制文件和liblzma库；Binarly在线工具适合上传二进制文件分析；Bitdefender工具需root权限，能查找受感染库和字节序列；Elastic Security Labs的YARA规则和osquery查询适合管理员主动扫描；Intezer的XZ-Hunter可全盘扫描识别感染文件。用户可根据自身环境和权限选择合适的工具组合。
潜在风险与应对建议
由于liblzma库被广泛集成，潜在受影响系统可能达数百万台。后门允许攻击者绕过SSH认证执行任意命令，风险极高。尽管多数稳定版发行版未受影响，但测试版用户应立即检查xz版本并更新。对于无法确认的系统，建议使用上述检测工具进行扫描，并关注官方安全公告。
Q&A
XZ后门是什么？
XZ后门是一种恶意软件，允许攻击者绕过SSH身份验证，访问全球运行Linux的关键基础设施系统并执行任意命令。
哪些Linux发行版受到XZ后门的影响？
受影响的Linux发行版包括Debian、Ubuntu、Fedora、CentOS等，主要是测试和实验版本。
XZ后门的潜在影响有多大？
潜在受影响的系统数量可能达到数百万台，因为liblzma库广泛应用于各类软件和系统中。
如何检测XZ后门？
可以使用多种检测工具和脚本，如Freund检测脚本、Binarly在线扫描工具、Bitdefender扫描工具、YARA规则和XZ-Hunter扫描工具。
Debian的稳定版本是否受到XZ后门影响？
Debian的稳定版本不受影响，但测试、不稳定和实验版本受到影响。
XZ后门的检测工具有哪些？
检测工具包括Freund检测脚本、Binarly在线扫描工具、Bitdefender扫描工具、YARA规则和XZ-Hunter扫描工具。
