每周升级布告-2022-06-28

颁布功夫 2022-06-28

新增事务

 

事务名称：

HTTP_安全缝隙_Webmin_远程代码执行缝隙[CVE-2012-2982][CNNVD-201209-215]

安全类型：

安全缝隙

事务描述：

检测到源IP主机正在利用Webmin1.590和更早版本中的file/show.cgi允许远程经过身份验证的用户通过蹊径名中的无效字符执行肆意号令。 。Webmin是职能最壮大的基于Web的Unix系统治理工具。 。治理员通过浏览器接见Webmin的各类治理职能并实现相应的治理作为。 。

更新功夫：

20220628

 

事务名称：

HTTP_代码执行_禅道_远程代码执行缝隙

安全类型：

安全缝隙

事务描述：

2019年9月，禅道项目治理软件爆出全版本的RCE缝隙。 。因而便好奇缝隙的成因，在阅读作者的文章及自己复现分析后，发现缝隙其实算是一种越权挪用，通常权限（用户组为1-10）的攻击者可通过module/api/control.php中getModel步骤，越权挪用module目录下所有的model�？？楹筒街瑁佣迪�SQL注入、、肆意文件读取、、远程代码执行等攻击。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Nagios_XI_远程代码执行缝隙[CVE-2020-5792][CNNVD-202010-1118]

安全类型：

安全缝隙

事务描述：

NagiosXI是一个成立在Nagios主题上的企业级监测和报警规划的开源组件。 。职能蕴含PHP网站界面、、综合阐发图、、可定制的仪表板、、网络结构、、配置GUI(图形用户接口)、、用户治理等。 。NagiosXI5.7.3中存在远程代码执行安全缝隙，该缝隙能够使经过身份验证的拥有治理员权限的用户可能以apache用户的身份远程执行代码。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Nagios_XI_远程代码执行缝隙[CVE-2020-28648][CNNVD-202011-1421]

安全类型：

安全缝隙

事务描述：

NagiosXI是一个成立在Nagios主题上的企业级监测和报警规划的开源组件。 。职能蕴含PHP网站界面、、综合阐发图、、可定制的仪表板、、网络结构、、配置GUI(图形用户接口)、、用户治理等。 。NagiosXI5.7.5中存在远程代码执行安全缝隙，攻击者可利用此缝隙以“apache”用户执行肆意号令。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Nagios_Fusion_远程代码执行缝隙[CVE-2020-28905]

安全类型：

安全缝隙

事务描述：

Nagios_Fusion可能为IT运营人员和治理人员提供急剧、、了如指掌的IT基础架构中任何问题的可视化批示。 。NagiosFusion4.1.8及更早版本中不正确的输入验证允许经过身份验证的攻击者通过表分页执行远程代码。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Webmin_远程号令执行缝隙[CVE-2020-35606][CNNVD-202012-1428]

安全类型：

安全缝隙

事务描述：

检测到源IP主机正在利用Webmin1.962和更早版本中的file/show.cgi允许远程经过身份验证的用户通过蹊径名中的无效字符执行肆意号令。 。Webmin是职能最壮大的基于Web的Unix系统治理工具。 。治理员通过浏览器接见Webmin的各类治理职能并实现相应的治理作为。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_泛微OA_ln.FileDownload_肆意文件读取缝隙

安全类型：

安全缝隙

事务描述：

泛微OAV8系统存在肆意文件读取缝隙，攻击者可通过ln.FileDownload接口读取肆意文件从而获取敏感信息。 。

更新功夫：

20220628

 

事务名称：

HTTP_号令执行_Zabbix_号令注入缝隙[CVE-2013-3628][CNNVD-201310-745]

安全类型：

安全缝隙

事务描述：

检测到源ip正在利用Zabbix的缝隙进行恶意号令执行。 。Zabbix是由AlexeiVladishev开发的一种网络监督、、治理系统，基于Server-Client架构。 。在Zabbix2.0.9及其之前版本允许治理员在主机上运行所创建的剧本，经过身份验证的攻击者可利用此缝隙在主机上允许运行恶意剧本。 。

更新功夫：

20220628

 

事务名称：

TCP_Java反序列化_CommonsCollections6Lite_利用链攻击

安全类型：

安全缝隙

事务描述：

检测到源IP主机正在利用CommonsCollections6的Java反序列化利用链对主张主机进行攻击的行为。 。若接见的利用存在缝隙JAVA反序列化缝隙且使用了commons-CommonsCollections3.1-3.2.1，攻击者能够发送精心机关的Java序列化对象，远程执行肆意代码或号令。 。远程执行肆意代码，获取系统节制权。 。

更新功夫：

20220628

 

事务名称：

TCP_可疑行为_Nishang工具利用

安全类型：

可疑行为

事务描述：

Nishang是一个框架和剧本和有效负载的集中，它支持使用PowerShell进行攻击性安全、、渗入测试和红队。 。Nishang在渗入测试的所有阶段都很有效。 。通过导入powershell会话进行渗入攻击。 。

运维参考：1. 查看该条事务后续报警是否存在如“TCP_可疑行为_使用Powershell”、、“TCP_powershell号令注入攻击”等事务，若是存在则注明该工具已被成功上传至主张ip；；；2. 查看该条事务前，源主张ip是否存在如“HTTP_木马_可疑PowerShell代码下载_衔接”、、“HTTP_可疑行为_Powershell_文件下载”、、“TCP_横向移动_WMI_Win32Process_挪用powershell”等事务，用于判断Nishang是否通过这些事务进行上传。 。

更新功夫：

20220628

 

事务名称：

TCP_可疑行为_使用Powershell

安全类型：

安全缝隙

事务描述：

检测到源ip通过使用框架、、剧本等交互Powershell进行攻击渗入。 。PowerShell的职能壮大且挪用方式极度矫捷，且能够混合。 。目前，越来越多的攻击者已经将PowerShell利用在各类攻击场景中，如内网渗入、、勒索、、挖矿、、APT攻击等等。 。在和各类组件，例如cmd,rundll32共同使用后，匹敌能力越发壮大。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Webmin_远程代码执行缝隙[CVE-2022-0824][CNNVD-202203-076]

安全类型：

回绝服务

事务描述：

检测到源ip正在利用主张ip上的Webmin（1.984及更低版本）文件治理器特权势用的缝隙，使低特权Webmin用户能够使用root特权接见文件并执行文件的对应内容。 。拥有其他不受信赖的Webmin用户的所有系统都应立即升级。 。请把稳，由于域所有者Webmin用户的配置方式，Virtualmin系统不受此谬误的影响。 。。 。Webmin是职能最壮大的基于Web的Unix系统治理工具。 。治理员通过浏览器接见Webmin的各类治理职能并实现相应的治理作为。 。

更新功夫：

20220628

 

事务名称：

TCP_后门_ParallaxRat_衔接

安全类型：

木马后门

事务描述：

检测到后门ParallaxRat试图衔接远程服务器。 。源IP地点的主机可能被植入了ParallaxRat。 。ParallaxRat是一个职能壮大的远控后门，已经被印度APT组织暗象所使用。 。"暗象"(DarkElephantGroup)是一个疑似来自印度的APT攻击组织，其重要针对印度境内的社会活动人士、、社会集体和在野政党等，同时也会窃取印度周边国度如中国和巴基斯坦等的军事政治指标的重要谍报。 。"暗象"组织的重要攻击伎俩是使用谷歌/雅虎邮箱或者利用盗取的邮箱，向受害者发送极具蛊惑性的鱼叉邮件，诱骗对方运行具备多种免杀技巧的成熟商用远控后门载荷。 。蕴含NetWire、、DarkComet、、ParallaxRat、、GMBot等。 。

 

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_金山终端安整系统_get_file_content.php_肆意文件读取缝隙

安全类型：

安全缝隙

事务描述：

金山V8终端安整系统存在肆意文件读取缝隙，攻击者能够通过/receive_file/get_file_content.php的filepath参数读取肆意文件。 。

更新功夫：

20220628

 

事务名称：

HTTP_TP-Link路由器_身份验证绕过缝隙[CVE-2019-7405][CNNVD-201912-1679]

安全类型：

安全缝隙

事务描述：

TP-LinkArcherC5v4等都是中国普联（TP-Link）公司的一款无线路由器，多款TP-Link产品中存在安全缝隙。 。只管设备有安全验证，但由于它只查抄referrer的HTTP头信息，所以攻击者可利用硬编码的tplinkwifi.net值来糊弄路由器的httpd服务，将其要求视为有效，通过发送特定HTTP要求可导致用户密码无效化，被一个空值所代替。 。

更新功夫：

20220628

 

事务名称：

HTTP_安全缝隙_Coremail_文件上传缝隙

安全类型：

安全缝隙

事务描述：

Coremail邮件系统产品在国内已占有10亿终端用户，是目前国内占有邮箱使用用户最多的邮件系统。 。Coremail<=XT5.x版本存在肆意文件上传缝隙，攻击者能够上传恶意文件，从而造成远程代码执行。 。

 

更新功夫：

20220628

 

事务名称：

TCP_木马_DynamoMiner_尝试衔接矿池(DYNAMO)

安全类型：

蠕虫病毒

事务描述：

检测到挖矿木马试图衔接远程矿池服务器。 。源IP地点的主机可能被植入了DynamoMiner挖矿木马。 。DynamoMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。Dynamo是一个平正刊行区块链，为用户带来真正的民主。 。为人们提供去中心化的加密钱币，Dynamo提供了很多现代区块链职能，例如NFT、、智能合约和散布式存储。 。

更新功夫：

20220628

 

事务名称：

TCP_木马_DynamoMiner_挖矿节制号令通讯_矿池更新Extranonce(DYNAMO)

安全类型：

蠕虫病毒

事务描述：

检测到矿池使用set_extranonce步骤来更新Extranonce。 。源IP地点的主机可能被植入了DynamoMiner挖矿木马。 。DynamoMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。Dynamo是一个平正刊行区块链，为用户带来真正的民主。 。为人们提供去中心化的加密钱币，Dynamo提供了很多现代区块链职能，例如NFT、、智能合约和散布式存储。 。

更新功夫：

20220628

 

事务名称：

TCP_木马_DynamoMiner_获取挖矿工作(DYNAMO)

安全类型：

蠕虫病毒

事务描述：

检测到矿池向矿机下发挖矿工作。 。源IP地点的主机可能被植入了DynamoMiner挖矿木马。 。DynamoMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。Dynamo是一个平正刊行区块链，为用户带来真正的民主。 。为人们提供去中心化的加密钱币，Dynamo提供了很多现代区块链职能，例如NFT、、智能合约和散布式存储。 。

更新功夫：

20220628

 

事务名称：

TCP_木马_DynamoMiner_挖矿成功(DYNAMO)

安全类型：

蠕虫病毒

事务描述：

检测到挖矿木马挖矿成功的行为，即矿机向矿池提交挖矿了局。 。源IP地点的主机可能被植入了DynamoMiner挖矿木马。 。DynamoMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。Dynamo是一个平正刊行区块链，为用户带来真正的民主。 。为人们提供去中心化的加密钱币，Dynamo提供了很多现代区块链职能，例如NFT、、智能合约和散布式存储。 。

更新功夫：

20220628

 

事务名称：

TCP_木马_DynamoMiner_挖矿节制号令通讯_难度调整(DYNAMO)

安全类型：

蠕虫病毒

事务描述：

检测到矿池使用set_difficulty步骤进行挖矿难度调整的行为。 。源IP地点的主机可能被植入了DynamoMiner挖矿木马。 。DynamoMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。Dynamo是一个平正刊行区块链，为用户带来真正的民主。 。为人们提供去中心化的加密钱币，Dynamo提供了很多现代区块链职能，例如NFT、、智能合约和散布式存储。 。

更新功夫：

20220628

 

事务名称：

TCP_木马_SeroMiner_尝试衔接矿池(SERO)

安全类型：

蠕虫病毒

事务描述：

检测到挖矿木马试图衔接远程矿池服务器。 。源IP地点的主机可能被植入了SeroMiner挖矿木马。 。SeroMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。 。SuperZero（SERO）是一个支持图灵完整智能合约的隐衷数字钱币，同时也是一个允许开发者自行颁布匿名数字资产的隐衷�；；；て教ǎ芄蝗萌ブ行幕ζ饔涤幸员；；；ぶ澳�。 。

更新功夫：

20220628

 

 

批改事务

 

 

事务名称：

HTTP_可疑行为_敏感文件接见

安全类型：

注入攻击

事务描述：

检测到源IP主机正在探测主张ip主机中可能露出在外的敏感文件。 。

更新功夫：

20220628