2019-06-22

宣布时间 2019-06-22

新增事务


事务名称：

TCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行误差Sync_Response[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为 。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统 。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，，，可以获取目的效劳器的系统权限， ，，，，并且完全控制目的系统 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TTCP_NSA_EternalChampion_(永恒冠军)_SMB远程代码执行误差Sync_Request[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为 。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统 。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，，，可以获取目的效劳器的系统权限， ，，，，并且完全控制目的系统 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差3[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Microsoft Windows SMB远程代码执行误差举行攻击的行为 。。。。

Microsoft Windows是微软宣布的很是盛行的操作系统 。。。。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，，，可以获取目的效劳器的系统权限， ，，，，并且完全控制目的系统 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差2[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到误差使用工具包Rig试图下载恶意软件， ，，，，源IP主机正在浏览的网页很可能被植入了恶意的剧本代码， ，，，，被定向到误差使用工具包Rig的页面， ，，，，导致下载恶意软件 。。。。

Exploit Kit是误差使用工具包， ，，，，预打包了装置程序、控制面板、恶意代码以及相当数目的攻击工具 。。。。一样平常来说， ，，，，Exploit Kit会包括一系列差别的误差使用代码 。。。。攻击者会向正当的网站注入恶意的剧本或代码， ，，，，以重定向到Exploit Kit页面 。。。。受害者浏览网页时即加载Exploit Kit的种种误差使用代码， ，，，，最终下载其它恶意软件 。。。。

Rig是2014年泛起的一款Exploit Kit即误差使用工具包， ，，，，主要以Java， ，，，，Flash和Silverlight误差为目的 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_EternalRomance_(永恒浪漫)_SMB远程代码执行误差1[MS17-010]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正向目的主机上传或下载jsp木马

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_ASP_webshell一句话木马下载

事务级别：

高级事务

清静类型：

木马后门

事务形貌：

检测到远程执行下令中包括下载watchbog挖矿木马行为

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_Nexus_Repository_Manager_3远程代码执行误差[CVE-2019-7238]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

Nexus Repository Manager用于搭建Maven私服， ，，，，用于治理报告和文档的项目治理软件

更新时间：

20190622

默认行动：

扬弃

 


修改事务


事务名称：

TCP_后门_Gh0st.DHLAR_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器 。。。。源IP所在的主机可能被植入了后门DHLAR 。。。。

Gh0st.DHLAR是使用一个凭证Gh0st远控的源码修改而来的后门， ，，，，运行后可以完全控制被植入机械 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_僵尸网络_MiraiXMiner_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到僵尸网络MiraiXMiner试图毗连远程效劳器 。。。。源IP所在的主机可能被植入了MiraiXMiner 。。。。

MiraiXMiner是一个仍然活跃着的僵尸网络， ，，，，融合了多种已知病毒家族， ，，，，包括Mirai、MyKings、远控、挖矿等 。。。。使用永恒之蓝误差、闭路电视物联网装备误差、MSSQL误差、RDP爆破和Telnet爆破等方法撒播自身 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_NSA_Windows_SMB_DoublePulsar植入乐成2

事务级别：

高级事务

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为 。。。。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统 。。。。SMBv1 server是其中的一个效劳器协议组件 。。。。DoublePulsar是一个后门程序， ，，，，用于在已熏染的系统上注入和运行恶意代码 。。。。

Microsoft Windows中的SMBv1效劳器保存远程代码执行误差 。。。。远程攻击者可借助特制的数据包使用该误差植入DoublePulsar后门 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_webshell_china_chopper_customize控制下令

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

该事务批注源IP地点主机上的中国菜刀客户规则在向目的IP地点主机上的webshell效劳器端发出控制下令 。。。。

webshell是web入侵的剧本攻击工具 。。。。简朴说， ，，，，webshell就是一个用asp或php等编写的木马后门， ，，，，攻击者在入侵了一个网站后， ，，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中， ，，，，与正常的网页文件混在一起 。。。。然后攻击者就可以用web的方法， ，，，，通过该木马后门控制网站效劳器， ，，，，包括上传下载文件、审查数据库、执行恣意程序下令等 。。。。webshell可以穿越防火墙， ，，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的， ，，，，因此不会被防火墙阻挡 。。。。并且使用webshell一样平常不会在系统日志中留下纪录， ，，，，只会在网站的web日志中留下一些数据提交纪录， ，，，，治理员较难看收支侵痕迹 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_木马后门_webshell_jsp_Runtime-reflect

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传或下载jsp木马

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

HTTP_fastjson_JSON反序列化_远程代码执行误差[CVE-2017-18349]

事务级别：

中级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用fastjsonJSON反序列化远程代码执行误差对目的主机举行攻击的行为， ，，，，试图通过传入全心结构的恶意代码或下令来入侵目的IP主机 。。。。

fastjson在1.2.24以及之前版本保存远程代码执行高危清静误差 。。。�？？？？？？？⒄咴谑褂�fastjson时， ，，，，若是编写不当， ，，，，可能导致JSON反序列化远程代码执行误差 。。。。攻击者通过发送一个全心结构的JSON序列化恶意代码， ，，，，当程序执行JSON反序列化的历程中执行恶意代码， ，，，，从而导致远程代码执行 。。。。

更新时间：

20190622

默认行动：

扬弃

 

事务名称：

TCP_Oracle_WebLogic_反序列化误差[CVE-2015-4852/2018-2628]

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP使用weblogic反序列化误差举行攻击的行为

Oracle Weblogic Server是应用程序效劳器 。。。。

Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, 12.2.1.0版本中， ，，，，WLS Security组件允许远程攻击者执行恣意下令 。。。。攻击者通过向TCP端口7001发送T3协议流量， ，，，，其中包括

全心结构的序列化Java工具使用此误差 。。。。此误差影响到WLS Security Handler的文件

oracle_common/modules/com.bea.core.apache.commons.collections.jar内一个未知的函数 。。。。

更新时间：

20190622

默认行动：

扬弃

  

事务名称：

HTTP_木马后门_ASP_webshell一句话木马上传

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传ASP一句话木马的行为

攻击者实验向效劳器上传ASP一句话木马文件， ，，，，若是上传乐成将通过一句话木马毗连工具对效劳器举行控制 。。。。

更新时间：

20190622

默认行动：

扬弃

 


删除事务 


1. IMAP_find_缓冲区溢出攻击实验[CVE-2000-0284] 
2. IMAP_list_缓冲区溢出攻击实验1[CVE-2000-0284]
3. TCP_Microsoft_UPnP_NOTIFY_缓冲区溢出攻击[CVE-2001-0876]