2019-06-18

颁布功夫 2019-06-19

新增事务


事务名称：

TCP_Oracle_WebLogic_反序列化缝隙[CNVD-C-2019-48814/CVE-2019-2725]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP利用weblogic反序列化缝隙进行攻击的行为

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

TCP_Oracle_WebLogic_反序列化缝隙探测[CNVD-C-2019-48814/CVE-2019-2725]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

检测到源IP利用weblogic反序列化缝隙进行攻击的行为

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_Coremail_配相信息泄露缝隙[CNVD-2019-16798]

事务级别：

中级事务

安全类型：

安全缝隙

事务描述：

检测到源IP在利用Coremail_配相信息泄露缝隙进行攻击的行为

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_RigExploitKit_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到缝隙利用工具包Rig试图下载恶意软件 ，源IP主机在浏览的网页很可能被植入了恶意的剧本代码 ，被定向到缝隙利用工具包Rig的页面 ，导致下载恶意软件 。

Exploit Kit是缝隙利用工具包 ，预打包了装置法式、节造面板、恶意代码以及相当数量的攻击工具 。通常来说 ，Exploit Kit会蕴含一系列分歧的缝隙利用代码 。攻击者会向合法的网站注入恶意的剧本或代码 ，以沉定向到Exploit Kit页面 。受害者浏览网页时即加载Exploit Kit的各类缝隙利用代码 ，最终下载其它恶意软件 。

Rig是2014年出现的一款Exploit Kit即缝隙利用工具包 ，重要以Java ，Flash和Silverlight缝隙为指标 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_webshell_jsp_string_byte变形

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传或下载jsp木马

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_watchbog_挖矿木马下载

事务级别：

高级事务

安全类型：

木马后门

事务描述：

检测到远程执行号令中蕴含下载watchbog挖矿木马行为

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_Nexus_Repository_Manager_3远程代码执行缝隙[CVE-2019-7238]

事务级别：

高级事务

安全类型：

安全缝隙

事务描述：

Nexus Repository Manager用于搭建Maven私服 ，用于治理汇报和文档的项目治理软件

更新功夫：

20190618

默认作为：

抛弃


批改事务


事务名称：

TCP_后门_njRat_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了木马 。

njRAT是一个C＃说话编写的后门 ，职能异常壮大 ，可齐全节造被习染机械 。目前已发现使用njRAT对中东国度提议攻击的案例 。重要针对能源、电信、当局等沉要指标 。

njRAT能够窃取敏感信息 ，如键盘纪录、主流浏览器(Firefox、Google Chrome、Opera)保留的密码、焦点窗口标题等 ，也能够截取被习染机械桌面 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

TCP_后门_Boer远控_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

Boer远控是一款国内的远程节造软件 ，能够对远程主机进行肆意操作 。

特洛伊木马（Trojan）是后门法式的一种 。典型的木马法式为服务器/客户端结构 ，通常情况下入侵者通过利用某种缝隙获得主机的节造权后 ，设法在被攻击的主机上运行木马法式的服务器端 ，之后就能够从远程利用客户端法式通过对主机上的服务器端法式进行接见而齐全节造该主机 ，在治理员毫无所知的情况下执行肆意法式、接见肆意文件等各类犯法操作 。因而木马法式是一种风险极大的恶意法式 ，若是发现主机上存在木马法式 ，则主机注定已经遭到了入侵 ，必要尽快采取措施 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

TCP_后门_VBS.H.Worm.Rat_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了木马 。

H-worm是一个基于VBS说话的后门 ，职能极度壮大 。H-worm借鉴了njRAT的开源代码 ，服务端为使用VBS剧本编写的蠕虫病毒 ，合用于Windows全系操作系统并且使用了比力先进的User-Agent传递数据的方式 ，重要传布方式有三种:电子邮件附件、恶意链接和被习染的U盘传布,蠕虫式的传布机造会形成大量的习染 。由于其简洁有效的远控职能、非PE剧本易于免杀、便于批改等个性,一向被黑产所青睐而活跃至今 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

UDP_后门_Win32.ZeroAcess_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。

源IP地点的主机可能被植入了木马 。

Win32.ZeroAcess是一个后门 ，运行后 ，注入其他过程 。下载其他病毒或者配相信息或者�？榈然蚯匀∶舾行畔� 。

上报该事务有两种可能 ，一是源主机被习染了 ，衔接CC服务器；二是ZeroAcess服务器端通过shadan代理方式进行扫描行为 ，重要看源IP是否是本单元的IP地址 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_Trojan.Win32.Rombertik_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了木马Rombertik 。

Rombertik是一个窃取敏感信息的木马 ，拥有高度复杂的逃避检测和预防分析技术 ，还可能删除受害者硬盘数据 ，以使推算机无法正常使用 。运行后把自身注入到浏览器过程 ，网络用户浏览Web网站时的所有信息以及用户登录凭证和其他敏感数据 。Rombertik重要通过邮件传布 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

TCP_木马后门_Win32/Linux_ircBot_衔接

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到ircBot试图衔接远程服务器 。源IP地点的主机可能被植入了ircBot 。

ircBot是基于irc和谈的僵尸网络 ，重要职能是对指定指标主机提议DDoS攻击 �；鼓芄幌略仄渌《镜奖恢踩牖� 。

更新功夫：

20190618

默认作为：

抛弃

  

事务名称：

HTTP_木马后门_webshell_PHP_eval一句话webshell

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传PHP eval一句话webshell木马 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

TTP_木马后门_webshell_JSP_一句话木马

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传jsp cmd幼马 。

更新功夫：

20190618

默认作为：

抛弃

 

事务名称：

HTTP_木马后门_ASP_webshell一句话木马

事务级别：

中级事务

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传ASP一句话木马的行为

攻击者尝试向服务器上传ASP一句话木马文件 ，若是上传成功将通过一句话木马衔接工具对服务器进行节造 。

更新功夫：

20190618

默认作为：

抛弃


删除事务

 

1. POP3_FOXMAILD_USER_远程缓冲区溢露马脚利用[CVE-2005-0635/0636]


2. FTP_ArGoSoft_DELE_远程缓冲区溢露马脚利用[CVE-2005-0696]


3. TCP_CA服务器_GETCONFIG远程溢露马脚利用[CVE-2005-0581]


4. ICMP_固定源IP的PING_FLOOD攻击


5. ICMP_PING主机散布扫描