每周升级布告-2021-05-11

颁布功夫 2021-05-12

新增事务


事务名称：

TCP_可疑行为_tracert号令_远程号令执行

安全类型：

可疑行为

事务描述：

检测到主机正在向源ip返回体中蕴含系统号令tracert的执行回显，， ，可能是黑客攻击导致系统执行号令的返回，， ，可能主机已经失陷

更新功夫：

20210511


事务名称：

TCP_后门_Rotajakiro.Oceanlotus(海莲花)_衔接

安全类型：

木马后门

事务描述：

检测到后门试图衔接远程服务器。源IP地点的主机可能被植入了后门Rotajakiro。Rotajakiro疑似是APT组织海莲花所的使用后门，， ，职能极度壮大，， ，运行后能够齐全节制被习染机械。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_Opentsdb_远程代码执行缝隙[CVE-2020-35476][CNNVD-202012-1211]

安全类型：

安全缝隙

事务描述：

检测到源IP主机正在利用Opentsdb远程号令执行缝隙对主张主机进行攻击的行为。OpenTSDB(OpenTimeSeriesDataBase)是基于HBASE构建的散布式、、可扩大的功夫序列数据库。OpenTSDB能够获取电力行业、、化工行业、、物联网行业等各类型实时监测、、查抄与分析设备所采集、、产生的功夫序列数据，， ，并提供存储、、索引以及图形化服务，， ，使其易于接见和可视化。OpenTSDB2.4.0及之前版本中存在远程代码执行缝隙，， ，攻击者可通过机关恶意要求实现远程代码执行。

更新功夫：

20210511


事务名称：

HTTP_可疑行为_copy_号令执行回显

安全类型：

安全缝隙

事务描述：

当前主机正在返回copy号令执行了局，， ，copy是主机复制文件的号令，， ，攻击者常用号令，， ，若是返回体里面出现有关体式的内容，， ，则可能主机已被攻下

更新功夫：

20210511


事务名称：

HTTP_天融信数据防泄漏系统_越权批改治理员缝隙

安全类型：

安全缝隙

事务描述：

检测到源ip正在利用天融信数据防泄漏系统的越权缝隙进行治理员密码批改；天融信数据防泄漏系统(简称:TopDLP)是以深度内容鉴别技术为主题,在数据存储、、传输和使用过程中,发现并鉴别敏感数据隐患,确保敏感数据合法使用,预防敏感数据泄漏的数据安全�；は低�。

更新功夫：

20210511


事务名称：

HTTP_APT攻击_Bitter(蔓灵花)_Win32.Downloader_衔接C2

安全类型：

木马后门

事务描述：

蔓灵花（BITTER）是疑似拥有南亚布景的APT组织，， ，因其早期特马通讯的数据包头部以“BITTER”作为标识而得名。该组织重要针对周边国度地域确当局，， ，军工业，， ，电力，， ，核等单元进行攻击，， ，以窃取敏感资料为主张，， ，拥有强烈的政治布景。该事务是一个.NET平台的Downloader,获取当前推算机用户名、、系统版本、、系统位数、、MAC地址等信息，， ，将获取的信息拼接上传到C2服务器，， ，并从C2服务器下载文件执行。

更新功夫：

20210511


事务名称：

HTTP_可疑行为_everything搜索页面被接见

安全类型：

CGI攻击

事务描述：

Everything是Windows上一款搜索引擎，， ，由于配置中开启了ETP/FTP和HTTP服务，， ，并未设置账号密码，， ，导致能够接见服务器的文件。若是攻击ip是授权ip，， ，则无需关注。

更新功夫：

20210511


事务名称：

TCP_可疑行为_nslookup号令_远程号令执行

安全类型：

安全缝隙

事务描述：

检测到源IP主机正在对主张IP执行nslookup号令，， ，nslookup用于查问DNS的纪录，， ，查问域名解析是否正常，， ，在网络故障时用来诊断网络问题，， ，也可被攻击者用于探测机械是否能够联通外网。

更新功夫：

20210511


批改事务


事务名称：

DNS_木马_可疑矿池域名解析要求

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器。源IP地点的主机可能被植入了挖矿木马。挖矿木马尝试衔接矿池，， ，受害主机变慢。

更新功夫：

20210511


事务名称：

TCP_冰蝎_php_webshell_上传

安全类型：

安全缝隙

事务描述：

检测到源IP主机正向主张主机上传冰蝎phpwebwhell木马,攻击者可远程节制被上传webshell主机执行肆意操作。

更新功夫：

20210511


事务名称：

HTTP_Citrix_ADC_远程代码执行缝隙[CVE-2020-8193][CNNVD-202007-367]

安全类型：

安全缝隙

事务描述：

检测到源IP正在利用Citrix_ADC的权限绕过缝隙，， ，通过创建session，， ，进而提权进行代码执行攻击，， ，最后导致主机失陷，， ，被攻击者收受。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_泛微OA8_前台SQL执行

安全类型：

注入攻击

事务描述：

泛微OA是国内公司颁布的一款移动办平正台。检测到攻击者正在利用泛微OA8前台的SQL执行缝隙，， ，通过此缝隙可查问出后盾密码等数据库敏感数据。

更新功夫：

20210511


事务名称：

TCP_后门_Win32.Salgorea(海莲花)_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器。源IP地点的主机可能被植入了后门Salgorea。Salgorea是海莲花所使用的壮大后门，， ，重要通过邮件传布。Salgorea运行后，， ，会尝试获取敏感信息，， ，也可执行C&C返回指令，， ，去下载其他后门。窃取敏感信息。

更新功夫：

20210511


事务名称：

TCP_僵尸网络_IoT.Moobot_衔接

安全类型：

木马后门

事务描述：

检测到Moobot试图衔接C&C服务器。源IP主机可能被植入了僵尸网络Moobot。Moobot是一个IoT僵尸网络，， ，重要职能是对指定指标提议DDoS攻击，， ，通过各类缝隙传布自身。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_亿邮电子邮件系统_远程号令执行

安全类型：

安全缝隙

事务描述：

检测到源ip主机正在利用亿邮电子邮件系统使用POST步骤在主张ip主机执行远程代码执行操作，， ，亿邮电子邮件系统是由北京亿中邮信息技术有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、、当局、、高校用户的国产邮件系统。亿邮电子邮件系统选取了自主研发MTA引擎、、散布式文件系统存储方式、、多对列机制、、ECS存储子系统、、Cache系统等多项主题技术，， ，提供了丰硕的邮件职能。

更新功夫：

20210511