2020-04-07

宣布时间 2020-04-07

新增事务



事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差扫描[MS17-010]_扫描有误差

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机举行MS17-010误差扫描的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。 。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，可以获取目的效劳器的系统权限， ，，并且完全控制目的系统。。。。 。

更新时间：

20200407










事务名称：

HTTP_后门_FakeSanforUD_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了Rarog。。。。 。

深信服VPN客户端保存误差， ，，在升级时会下载执行名为SangforUD.exe的更新程序。。。。 。但VPN客户端仅对SangforUD.exe做了简朴的版本比照， ，，没有做任何的清静检查。。。。 。APT组织Darkhotel攻破了VPN效劳器， ，，改动升级设置文件并把SangforUD.exe替换为恶意的后门FakeSanforUD。。。。 。

FakeSanforUD是一个后门， ，，通过下载执行shellcode， ，，最终下载焦点的后门恶意组件thinmon.dll。。。。 。焦点后门组件thinmon.dll会解密云端下发的另外一个加密文件Sangfor_tmp_1.dat， ，，以加载、线程启动、注入历程3种方法中的一种启动dat文件 ， ，，最终由dat文件实现与效劳器交互执行恶意操作。。。。 。

更新时间：

20200407















事务名称：

TCP_Metasploit_匿名管道扫描

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用对目的主机使用Metasploit通过SMB协议获取盘算机信息的行为。。。。 。

更新时间：

20200407








事务名称：

TCP_SMB_NMAP扫描

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用对目的主机使用NMAP通过SMB协议获取盘算机信息的行为。。。。 。

更新时间：

20200407









事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差扫描[MS17-010]_扫描无误差

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机举行MS17-010误差扫描的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。 。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，可以获取目的效劳器的系统权限， ，，并且完全控制目的系统。。。。 。

更新时间：

20200407










事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_DoublePulsar后门_扫描或植入后门_疑似执行或卸载

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为。。。。 。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统。。。。 。SMBv1 server是其中的一个效劳器协议组件。。。。 。DoublePulsar是一个后门程序， ，，用于在已熏染的系统上注入和运行恶意代码。。。。 。

Microsoft Windows中的SMBv1效劳器保存远程代码执行误差。。。。 。远程攻击者可借助特制的数据包使用该误差植入或扫描DoublePulsar后门。。。。 。

更新时间：

20200407













事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_DoublePulsar后门_扫描或植入后门_疑似ping

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为。。。。 。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统。。。。 。SMBv1 server是其中的一个效劳器协议组件。。。。 。DoublePulsar是一个后门程序， ，，用于在已熏染的系统上注入和运行恶意代码。。。。 。

Microsoft Windows中的SMBv1效劳器保存远程代码执行误差。。。。 。远程攻击者可借助特制的数据包使用该误差植入DoublePulsar后门。。。。 。

更新时间：

20200407













事务名称：

TCP_DrayTek_预身份验证下令注入误差[CVE-2020-8515]

清静类型：

注入攻击

事务形貌：

检测到攻击者使用DrayTek预身份验证处的两处下令注入误差举行攻击的行为。。。。 。DrayTek是一家在中国生产防火墙， ，，VPN装备， ，，路由器， ，，WLAN装备等的制造商。。。。 。该误差源于/cgi-bin/mainfunction.cgi程序未准确过滤keyPath字段和rtick字段其中的特殊字符， ，，攻击者可使用该误差不经由身份验证以root权限执行代码。。。。 。

更新时间：

20200407










事务名称：

HTTP_ZyXEL_预身份验证下令注入误差[CVE-2020-9054]

清静类型：

注入攻击

事务形貌：

检测到源IP主机正试图通过ZyXEL装备中的预身份验证的下令注入误差举行攻击的行为。。。。 。攻击者攻击乐成后可远程执行恣意代码。。。。 。

更新时间：

20200407








修改事务


事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差写入shellcode[MS17-010]

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机使用MS17-010误差写入shellcode的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。。。。 。

若是攻击者向 Microsoft 效劳器发送经全心结构的畸形请求包， ，，可以获取目的效劳器的系统权限， ，，并且完全控制目的系统。。。。 。

更新时间：

20200407










事务名称：

TCP_清静误差_Microsoft_SMBv3_远程代码执行误差[CVE-2020-0796]

清静类型：

清静误差

事务形貌：

检测到源IP主机可能正在对目的主机举行CVE-2020-0796误差使用的行为。。。。 。

更新时间：

20200407








事务名称：

UDP_僵尸网络_Mozi.P2PBotnet_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Mozi试图和Peer通讯。。。。 。由于是基于P2P协议， ，，源IP和目的IP所在的主机可能都被植入了僵尸网络Mozi。。。。 。

Mozi是一个基于P2P协议的僵尸网络， ，，主要支持的功效为：DDoS攻击、网络Bot信息、执行指定URL的payload、从指定的URL更新样本、执行系统或自界说下令。。。。 。

更新时间：

20200407










事务名称：

TCP_Tomcat/Coldfusion_AJP13_恣意文件读取[CVE-2020-1938/CVE-2020-3761/CVE-2020-3794]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Tomcat/Coldfusion_AJP13恣意文件读取误差对目的主机举行攻击的行为。。。。 。

更新时间：

20200407