2018-07-13

宣布时间 2018-07-13

新增事务

事务名称：

HTTP_木马后门_Smurf.fileUpload(Confucius)_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到Smurf试图毗连远程服务器。源IP所在的主机可能被植入了Smurf。
Smurf是APT组织Confucius使用的窃取文件的木马，运行后，上传种种文件到C&C服务器，如doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv等。  

更新时间：

20180713

默认行动：

扬弃

事务名称：

TCP_木马_Win32.TrickBot_NetworkCollectorModule

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图连接远程服务器。源IP所在的主机可能被植入了木马TrickBot。 TrickBot是一个功效强大的窃密木马。Trickbot银行木马中包括Network Collector Module，该模块可以搜集用户信息上传至服务器。 。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_木马后门_Win32.LoadMoney_连接

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到Loadmoney试图连接远程服务器。源IP所在的主机可能被植入了Loadmoney。 Loadmoney是一个木马下载者，运行后会下载其它恶意样本。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_Malware_KardonLoader_连接服务器

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到Kardon Loader试图连接远程服务器。源IP所在的主机可能被植入了Kardon Loader。 Kardon Loader是一个全功效的下载器，可以下载和装置其他恶意软件。例如，银行木马/凭证窃取软件等。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_木马后门_DanaBot.Downloader_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到DanaBot试图下载焦点Main dll组件。源IP所在的主机可能被植入了DanaBot。 DanaBot是一个银行木马，包括一个下载组件。下载组件运行后会下载焦点Main dll组件。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

TCP_木马后门_DanaBot_连接

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到DanaBot的Main dll试图下载其它组件。源IP所在的主机可能被植入了DanaBot。 DanaBot是一个银行木马，包括一个下载组件。下载组件运行后会下载焦点Main dll组件。Main dll下载VNC、Stealer、Sniffer等组件，完成窃密。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_连接2

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到PoisonIvy的心跳包数据。源IP所在的主机可能被植入了Poison Ivy。 Poison Ivy是一个被普遍应用的远程控制工具，允许攻击者完全控制被植入机械。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_DVR_硬盘录像机_登录绕过误差[CVE-2018-9995]

事务级别：

中级事务

清静类型：

网络装备攻击 

事务形貌：

检测到源IP主机正在使用DVR硬盘录像机登录绕过误差攻击目的IP主机的行为，试图通过使用DVR绕过登录误差登录到硬盘录像机后台，不法使用视频监控资源。 DVR全称Digital Video Recorder(硬盘录像机)，通常是视频监控系统中的主要组成部分。检测到有多款DVR装备保存登录绕过误差，攻击者通过修改Cookie:uid=admin之后并会见特定DVR的控制面板，返回此装备的明文管理员凭证。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_anni安尼XVR_同轴硬盘录像机_密码泄露误差

事务级别：

中级事务

清静类型：

网络装备攻击 

事务形貌：

检测到源IP主机正在使用XVR同轴硬盘录像神秘码泄露误差攻击目的IP主机的行为，试图通过使用XVR密码泄露误差，进而登录到XVR后台，不法使用视频监控资源。 XVR同轴硬盘录像机，通常是视频监控系统中的主要组成部分。检测到anni安尼有多款XVR装备保存密码泄露，攻击者通过会见指定的URL，XVR装备即可返回登录密码。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_施耐德_派尔高系列摄像机_远程代码执行漏洞

事务级别：

中级事务

清静类型：

网络装备攻击 

事务形貌：

检测到源IP主机正在使用施耐德派尔高系列摄像机远程代码执行误差攻击目的IP主机的行为，试图通过远程执行恣意下令，实验通过该装备进行挖矿或者DoS攻击等不法行为。 施耐德公司旗下的派尔高系列摄像机通常被用于种种商业和工业监控领域，具有较好的环境适应性。Pelco系列摄像机保存远程代码执行误差，攻击者可以通过POST请求中的enable_leds参数注入恣意代码或下令，进而完全控制摄像机。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_NETGEAR_DGN1000_远程下令执行误差

事务级别：

中级事务

清静类型：

网络装备攻击 

事务形貌：

检测到源IP主机正在使用美国网件NETGEAR DGN1000系列路由器远程代码执行误差攻击目的IP主机的行为，试图通过远程执行恣意下令，实验通过该装备进行挖矿或者DoS攻击等不法行为。 美国网件NETGEAR是美国着名的企业装备提供商，NETGEAR DGN1000系列路由器普遍被安排在全球各大互联网公司及家庭。DGN1000系列路由器保存远程代码执行误差，攻击者可以通过URL中的cmd参数注入恣意代码或下令，进而完全控制路由器。 

更新时间：

20180713

默认行动：

扬弃

事务名称：

HTTP_NETGEAR_JWNR_密码泄露漏洞

事务级别：

中级事务

清静类型：

网络装备攻击 

事务形貌：

检测到源IP主机正在使用NETGEAR JWNR系列路由器密码泄露误差攻击目的IP主机的行为，试图通过使用JWNR系列路由器密码泄露误差，进而登录到路由器后台，完全控制整个网络。 XVR 同轴硬盘录像机，通常是视频监控系统中的主要组成部分。检测到anni安尼有多款XVR装备保存密码泄露，攻击者通过会见指定的URL，XVR装备即可返回登录密码。  

更新时间：

20180713

默认行动：

扬弃

修改事务

事务名称：

HTTP_Microsoft_Windows_HTTP_sys远程代码执行误差[CVE-2015-1635]

事务级别：

中级事务

清静类型：

清静误差 

事务形貌：

检测到源IP主机正试图通过Microsoft Windows HTTP.sys远程代码执行误差攻击目的IP主机。 Http.sys是处理HTTP请求的内核模式驱动程序。 HTTP.sys过失剖析结构的HTTP请求时，在实现上保存远程代码执行误差，乐成使用此误差后，攻击者可在System帐户上下文中执行恣意代码。 

更新时间：

20180713

默认行动：

扬弃