2019-06-22

宣布时间 2019-06-22

新增事务


事务名称：

TCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行误差Sync_Response[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为。。。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包，，，，，，，可以获取目的效劳器的系统权限，，，，，，，并且完全控制目的系统。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TTCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行误差Sync_Request[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为。。。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包，，，，，，，可以获取目的效劳器的系统权限，，，，，，，并且完全控制目的系统。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差3[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为。。。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包，，，，，，，可以获取目的效劳器的系统权限，，，，，，，并且完全控制目的系统。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差2[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到误差使用工具包Rig试图下载恶意软件，，，，，，，源IP主机正在浏览的网页很可能被植入了恶意的剧本代码，，，，，，，被定向到误差使用工具包Rig的页面，，，，，，，导致下载恶意软件。。。。。。

Exploit Kit是误差使用工具包，，，，，，，预打包了装置程序、控制面板、恶意代码以及相当数目的攻击工具。。。。。。一样平常来说，，，，，，，Exploit Kit会包括一系列差别的误差使用代码。。。。。。攻击者会向正当的网站注入恶意的剧本或代码，，，，，，，以重定向到Exploit Kit页面。。。。。。受害者浏览网页时即加载Exploit Kit的种种误差使用代码，，，，，，，最终下载其它恶意软件。。。。。。

Rig是2014年泛起的一款Exploit Kit即误差使用工具包，，，，，，，主要以Java，，，，，，，Flash和Silverlight误差为目的。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差1[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正向目的主机上传或下载jsp木马

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_ASP_webshell一句话木马下载

事务级别：

高级事务

清静类型：

木马后门

事务形貌：

检测到远程执行下令中包括下载watchbog挖矿木马行为

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_Nexus_Repository_Manager_3远程代码执行误差[CVE-2019-7238]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

Nexus Repository Manager用于搭建Maven私服，，，，，，，用于治理报告和文档的项目治理软件

更新时间：

20190622

默认行动：

扬弃

 


修改事务


事务名称：

TCP_后门_Gh0st.DHLAR_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。。。源IP所在的主机可能被植入了后门DHLAR。。。。。。

Gh0st.DHLAR是使用一个凭证Gh0st远控的源码修改而来的后门，，，，，，，运行后可以完全控制被植入机械。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_僵尸网络_MiraiXMiner_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到僵尸网络MiraiXMiner试图毗连远程效劳器。。。。。。源IP所在的主机可能被植入了MiraiXMiner。。。。。。

MiraiXMiner是一个仍然活跃着的僵尸网络，，，，，，，融合了多种已知病毒家族，，，，，，，包括Mirai、MyKings、远控、挖矿等。。。。。。使用永恒之蓝误差、闭路电视物联网装备误差、MSSQL误差、RDP爆破和Telnet爆破等方法撒播自身。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_Windows_SMB_DoublePulsar植入乐成2

事务级别：

高级事务

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为。。。。。。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统。。。。。。SMBv1 server是其中的一个效劳器协议组件。。。。。。DoublePulsar是一个后门程序，，，，，，，用于在已熏染的系统上注入和运行恶意代码。。。。。。

Microsoft Windows中的SMBv1效劳器保存远程代码执行误差。。。。。。远程攻击者可借助特制的数据包使用该误差植入DoublePulsar后门。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_webshell_china_chopper_customize控制下令

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

该事务批注源IP地点主机上的中国菜刀客户规则在向目的IP地点主机上的webshell效劳器端发出控制下令。。。。。。

webshell是web入侵的剧本攻击工具。。。。。。简朴说，，，，，，，webshell就是一个用asp或php等编写的木马后门，，，，，，，攻击者在入侵了一个网站后，，，，，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，，，，，，与正常的网页文件混在一起。。。。。。然后攻击者就可以用web的方法，，，，，，，通过该木马后门控制网站效劳器，，，，，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。。。webshell可以穿越防火墙，，，，，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，，，，，，因此不会被防火墙阻挡。。。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，，，，，，只会在网站的web日志中留下一些数据提交纪录，，，，，，，治理员较难看收支侵痕迹。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_webshell_jsp_Runtime-reflect

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传或下载jsp木马

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_fastjson_JSON反序列化_远程代码执行误差[CVE-2017-18349]

事务级别：

中级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用fastjsonJSON反序列化远程代码执行误差对目的主机举行攻击的行为，，，，，，，试图通过传入全心结构的恶意代码或下令来入侵目的IP主机。。。。。。

fastjson在1.2.24以及之前版本保存远程代码执行高危清静误差。。。。。�？？？？？？⒄咴谑褂�fastjson时，，，，，，，若是编写不当，，，，，，，可能导致JSON反序列化远程代码执行误差。。。。。。攻击者通过发送一个全心结构的JSON序列化恶意代码，，，，，，，当程序执行JSON反序列化的历程中执行恶意代码，，，，，，，从而导致远程代码执行。。。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_Oracle_WebLogic_反序列化误差[CVE-2015-4852/2018-2628]

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP使用weblogic反序列化误差举行攻击的行为

Oracle Weblogic Server是应用程序效劳器。。。。。。

Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, 12.2.1.0版本中，，，，，，，WLS Security组件允许远程攻击者执行恣意下令。。。。。。攻击者通过向TCP端口7001发送T3协议流量，，，，，，，其中包括

全心结构的序列化Java工具使用此误差。。。。。。此误差影响到WLS Security Handler的文件

oracle_common/modules/com.bea.core.apache.commons.collections.jar内一个未知的函数。。。。。。

更新时间：

20190622

默认行动：

扬弃

  

事务名称：

HTTP_木马后门_ASP_webshell一句话木马上传

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传ASP一句话木马的行为

攻击者实验向效劳器上传ASP一句话木马文件，，，，，，，若是上传乐成将通过一句话木马毗连工具对效劳器举行控制。。。。。。

更新时间：

20190622

默认行动：

扬弃

 


删除事务 


1. IMAP_find_缓冲区溢出攻击实验[CVE-2000-0284] 
2. IMAP_list_缓冲区溢出攻击实验1[CVE-2000-0284]
3. TCP_Microsoft_UPnP_NOTIFY_缓冲区溢出攻击[CVE-2001-0876]