2020-04-07

宣布时间 2020-04-07

新增事务



事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差扫描[MS17-010]_扫描有误差

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机举行MS17-010误差扫描的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。

若是攻击者向 Microsoft 服务器发送经全心结构的畸形请求包，可以获取目的服务器的系统权限，并且完全控制目的系统。

更新时间：

20200407










事务名称：

HTTP_后门_FakeSanforUD_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了Rarog。

深信服VPN客户端保存误差，在升级时会下载执行名为SangforUD.exe的更新程序。但VPN客户端仅对SangforUD.exe做了简朴的版本比照，没有做任何的清静检查。APT组织Darkhotel攻破了VPN服务器，改动升级设置文件并把SangforUD.exe替换为恶意的后门FakeSanforUD。

FakeSanforUD是一个后门，通过下载执行shellcode，最终下载焦点的后门恶意组件thinmon.dll。焦点后门组件thinmon.dll会解密云端下发的另外一个加密文件Sangfor_tmp_1.dat，以加载、线程启动、注入历程3种方法中的一种启动dat文件 ，最终由dat文件实现与服务器交互执行恶意操作。

更新时间：

20200407















事务名称：

TCP_Metasploit_匿名管道扫描

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用对目的主机使用Metasploit通过SMB协议获取盘算机信息的行为。

更新时间：

20200407








事务名称：

TCP_SMB_NMAP扫描

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用对目的主机使用NMAP通过SMB协议获取盘算机信息的行为。

更新时间：

20200407









事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差扫描[MS17-010]_扫描无误差

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机举行MS17-010误差扫描的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。

若是攻击者向 Microsoft 服务器发送经全心结构的畸形请求包，可以获取目的服务器的系统权限，并且完全控制目的系统。

更新时间：

20200407










事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_DoublePulsar后门_扫描或植入后门_疑似执行或卸载

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统。SMBv1 server是其中的一个服务器协议组件。DoublePulsar是一个后门程序，用于在已熏染的系统上注入和运行恶意代码。

Microsoft Windows中的SMBv1服务器保存远程代码执行误差。远程攻击者可借助特制的数据包使用该误差植入或扫描DoublePulsar后门。

更新时间：

20200407













事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_DoublePulsar后门_扫描或植入后门_疑似ping

清静类型：

木马后门

事务形貌：

检测到通过MS17-010的误差植入DoublePulsar后门的行为。

Microsoft Windows是美国微软（Microsoft）公司宣布的一系列操作系统。SMBv1 server是其中的一个服务器协议组件。DoublePulsar是一个后门程序，用于在已熏染的系统上注入和运行恶意代码。

Microsoft Windows中的SMBv1服务器保存远程代码执行误差。远程攻击者可借助特制的数据包使用该误差植入DoublePulsar后门。

更新时间：

20200407













事务名称：

TCP_DrayTek_预身份验证下令注入误差[CVE-2020-8515]

清静类型：

注入攻击

事务形貌：

检测到攻击者使用DrayTek预身份验证处的两处下令注入误差举行攻击的行为。DrayTek是一家在中国生产防火墙，VPN装备，路由器，WLAN装备等的制造商。该误差源于/cgi-bin/mainfunction.cgi程序未准确过滤keyPath字段和rtick字段其中的特殊字符，攻击者可使用该误差不经由身份验证以root权限执行代码。

更新时间：

20200407










事务名称：

HTTP_ZyXEL_预身份验证下令注入误差[CVE-2020-9054]

清静类型：

注入攻击

事务形貌：

检测到源IP主机正试图通过ZyXEL装备中的预身份验证的下令注入误差举行攻击的行为。攻击者攻击乐成后可远程执行恣意代码。

更新时间：

20200407








修改事务


事务名称：

TCP_NSA_EternalBlue_(永恒之蓝)_SMB误差写入shellcode[MS17-010]

清静类型：

清静误差

事务形貌：

检测到源IP对目的主机使用MS17-010误差写入shellcode的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。

若是攻击者向 Microsoft 服务器发送经全心结构的畸形请求包，可以获取目的服务器的系统权限，并且完全控制目的系统。

更新时间：

20200407










事务名称：

TCP_清静误差_Microsoft_SMBv3_远程代码执行误差[CVE-2020-0796]

清静类型：

清静误差

事务形貌：

检测到源IP主机可能正在对目的主机举行CVE-2020-0796误差使用的行为。

更新时间：

20200407








事务名称：

UDP_僵尸网络_Mozi.P2PBotnet_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Mozi试图和Peer通讯。由于是基于P2P协议，源IP和目的IP所在的主机可能都被植入了僵尸网络Mozi。

Mozi是一个基于P2P协议的僵尸网络，主要支持的功效为：DDoS攻击、网络Bot信息、执行指定URL的payload、从指定的URL更新样本、执行系统或自界说下令。

更新时间：

20200407










事务名称：

TCP_Tomcat/Coldfusion_AJP13_恣意文件读取[CVE-2020-1938/CVE-2020-3761/CVE-2020-3794]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Tomcat/Coldfusion_AJP13恣意文件读取误差对目的主机举行攻击的行为。

更新时间：

20200407