2021-04-06

宣布时间 2021-04-07

新增事务


事务名称：

TCP_僵尸网络_Mirai.Putin_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Mirai变种Putin试图毗连C&C服务器。源IP所在的主机可能被植入了Mirai变种Putin。Mirai僵尸网络蠕虫主要通过扫描防护能力不强的物联网装备（IoT），包括：路由器、网络摄像头、DVR装备等等，IoT装备主要是MIPS、ARM等架构，因保存默认密码、弱密码、严重误差未实时修复等因素，导致被攻击者植入木马。窃取敏感信息，获取管理员权限。由于源代码已经果真，Mirai泛起了许多变种，本事务针对其变种Putin。

更新时间：

20210406


事务名称：

HTTP_清静误差_SAP_NetWeaver_未授权恣意用户建设误差[CVE-2020-6287][CNNVD-202007-800]

清静类型：

清静误差

事务形貌：

SAP NetWeaver AS for Java Web组件中缺少身份验证，因此允许攻击者在受影响的SAP系统上举行高特权运动。若是被乐成使用，则未经身份验证的远程攻击者可以通过建设具有最大特权的新SAP用户，绕过所有会见和授权控制，从而完全控制SAP系统。

更新时间：

20210406


事务名称：

HTTP_清静误差_禅道PMS_文件上传误差

清静类型：

清静误差

事务形貌：

禅道PMS（ZenTao Project Management System）是一款中小型企业项目管理工具，集产品管理、项目管理、测试管理于一身，同时包括事务管理、组织管理等诸多功效。在禅道PMS小于12.4.2的版本中保存文件上传误差。上岸后台的恶意攻击者可以通过fopen/fread/fwrite要领读取或上传恣意文件，乐成使用误差可以读取目的系统敏感文件以及获得系统管理权限。

更新时间：

20210406


事务名称：

HTTP_JetBrains目录泄露

清静类型：

CGI攻击

事务形貌：

检测到源IP使用JetBrains的.idea举行目录信息窃取。JetBrains是一家捷克的软件开发公司，旗下涵盖种种开发产品

更新时间：

20210406


事务名称：

HTTP_socat_反弹shell下令注入

清静类型：

清静误差

事务形貌：

检测到源IP主机正在向目的主机举行socat反弹shell下令注入攻击。反弹毗连，是指攻击者指定服务端，受害者主机自动毗连攻击者的服务端程序。反弹shell通常用于被控端因防火墙受限、权限缺乏、端口被占用等情形。攻击者攻击乐成后可以远程执行系统下令。

更新时间：

20210406


事务名称：

ICMP_木马_可疑ICMP隧道_毗连

清静类型：

可疑行为

事务形貌：

发明可疑的的icmp流量。源IP可能被植入了icmp隧道工具，如icmpsh、icmptunnel等。

更新时间：

20210406


事务名称：

HTTP_木马后门_webshell_Yu1uPHPSh3ll_上传后门程序

清静类型：

木马后门

事务形貌：

检测到源IP地址主机正在向目的IP地址主机传送可疑的Yu1uPHPSh3llwebshell文件。webshell是web入侵的剧本攻击工具。简朴说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，经常将这些asp或php等木马后门文件安排在网站服务器的web目录中，与正常的网页文件混在一起。然后攻击者就可以用web的方法，通过该木马后门控制网站服务器，包括上传下载文件、审查数据库、执行恣意程序下令等。webshell可以穿越防火墙，由于与被控制的服务器或远程主机交流的数据都是通过80端口转达的，因此不会被防火墙阻挡。并且使用webshell一样平常不会在系统日志中留下纪录，只会在网站的web日志中留下一些数据提交纪录，管理员较难看收支侵痕迹。

更新时间：

20210406


事务名称：

HTTP_Fastadmin_chunkid分片代码执行误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用fastadmin的分片上传功效保存的误差硬编码后缀来命名和生涯文件，并执行恣意代码。fastadmin是基于ThinkPHP5的内容管理系统(含小程序),可自界说内容模子、自界说单页、自界说表单、自界说会员宣布、付费阅读、小程序等功效,整合FastAdmin会员中心。

更新时间：

20210406


事务名称：

HTTP_木马后门_webshell_safedog_d毗连

清静类型：

木马后门

事务形貌：

检测到源IP主机正在向目的IP主机提倡safedog_d毗连。safedog_d为大马，会见该大马可以获得webshell的网页，在该页面上完成可反弹端口，sql执行等操作。

更新时间：

20210406


事务名称：

HTTP_清静误差_JIRA_未授权SSRF误差[CVE-2017-9506][CNNVD-201706-286]

清静类型：

清静误差

事务形貌：

JIRA是Atlassian公司出品的项目与事务跟踪工具，被普遍应用于缺陷跟踪、客户服务、需求网络、流程审批、使命跟踪、项目跟踪和迅速管理等事情领域。Jira的plugins/servlet/oauth/users/icon-uri资源保存SSRF误差，主要为JIRA的通俗用户均可乐成使用此误差以Jira服务端的身份会见内网资源。

更新时间：

20210406


修改事务


事务名称：

TCP_冰蝎_php_webshell_上传

清静类型：

清静误差

事务形貌：

检测到源IP主机正向目的主机上传冰蝎phpwebwhell木马攻击者可远程控制被上传webshell主机执行恣意操作。

更新时间：

20210406


1


事务名称：

TCP_ZooKeeper_未授权会见误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用ZooKeeper保存的未授权会见误差举行攻击的行为。ZooKeeper是一个漫衍式的，开放源码的漫衍式应用程序协调服务，是Google的Chubby一个开源的实现，是Hadoop和Hbase的主要组件。

更新时间：

20210406


事务名称：

DNS_木马后门_CobaltStrike.Stager_代码下载执行

清静类型：

木马后门

事务形貌：

检测到由黑客工具CobaltStrike天生的后门Stager试图毗连远程服务器下载木马CobaltStrike.Beacon,源IP所在的主机可能被植入了CobaltStrike.Stager。CobaltStrike.Beacon执行后攻击者可使用CobaltStrike完全控制受害机械，并举行横向移动。CobatStrike是一款基于java编写的全平台多方协同后渗透攻击框架。CobaltStrike集成了端口转发、端口扫描、socket代理、提权、垂纶、远控木马等功效。该工具险些笼罩了APT攻击链中所需要用到的各个手艺环节，深受黑客们的喜欢。

更新时间：

20210406


事务名称：

TCP_木马后门_ASPX_reGeorg-v1.0_后门上传

清静类型：

木马后门

事务形貌：

检测到源IP主机正向目的主机上传reGeorg-v1.0木马后门文件。reGeorg-v1.0木马是黑客常用的一种内网渗透流量转发木马，攻击者通过上传该木马文件到Web服务器，然后在外地通过特定攻击剧本毗连服务端的木马文件举行内网流量转发。攻击者妄想通过这种方法绕过内网防护装备以Web服务器为跳板攻击其他内网主机，试图获取内网其他服务器的控制权。上传木马后门，进而远程毗连木马后门攻击内网其他主机。

更新时间：

20210406


事务名称：

HTTP_Oracle_Weblogic_远程代码执行误差[CVE-2020-14882][CVE-2020-14750]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用OracleWebLogic远程代码执行误差，未经身份验证的攻击者可以通过结构恶意HTTP请求使用该误差，乐成使用此误差可能接受OracleWebLogicServer。

更新时间：

20210406


事务名称：

TCP_后门_MSIL.LimeRat_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程服务器。源IP所在的主机可能被植入了LimeRat。LimeRat是一个基于CSharp的远控，运行后可完全控制被植入机械�？赏耆刂票恢踩牖�。

更新时间：

20210406


事务名称：

HTTP_木马后门_CobaltStrike.Powershell_代码下载执行

清静类型：

木马后门

事务形貌：

检测到由黑客工具CobaltStrike天生的后门powershell下令试图毗连远程服务器下载木马CobaltStrike.Beacon,源IP所在的主机可能执行了后门Powershell下令。CobaltStrike.Beacon执行后攻击者可使用CobaltStrike完全控制受害机械，并举行横向移动。CobatStrike是一款基于java编写的全平台多方协同后渗透攻击框架。CobaltStrike集成了端口转发、端口扫描、socket代理、提权、垂纶、远控木马等功效。该工具险些笼罩了APT攻击链中所需要用到的各个手艺环节，深受黑客们的喜欢。窃取敏感信息，完全会见控制

更新时间：

20210406