2020-06-09

宣布时间 2020-06-10

新增事务


事务名称：

TCP_清静误差_Microsoft_SMBV3_远程代码执行误差[CVE-2020-0796](无误差)

清静类型：

清静误差

事务形貌：

检测到源IP主机可能正在对目的主机举行CVE-2020-0796误差使用的行为 ，可是目的主机协商的SMB并不保存该误差。

更新时间：

20200609








事务名称：

HTTP_Apache_Solr_远程代码执行误差[CVE-2019-17558][CNNVD-201912-1225]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Apache Solr VelocityResponseWriter远程代码执行误差对目的主机举行攻击的行为。

Apache Solr是美国阿帕奇（Apache）软件基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器。该产品支持层面搜索、笔直搜索、高亮显示搜索效果等。 Apache Solr 5.0.0版本至8.3.1版本中保存输入验证过失误差。该误差源于网络系统或产品未对输入的数据举行准确的验证。攻击者向网站发送全心结构的攻击payload ，攻击乐成可以远程执行恣意下令 ，进而控制服务器。

更新时间：

20200609














事务名称：

HTTP_税务系统_远程代码执行误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用反序列化远程代码执行误差对目的主机举行攻击的行为 ，试图通过传入全心结构的恶意代码或下令来入侵目的IP主机。

更新时间：

20200609








事务名称：

HTTP_fastjson_1.2.68_JSON反序列化_远程代码执行误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用fastjsonJSON反序列化远程代码执行误差对目的主机举行攻击的行为 ，试图通过传入全心结构的恶意代码或下令来入侵目的IP主机。

fastjson在1.2.68以及之前版本保存远程代码执行高危清静误差�？⒄咴谑褂�fastjson时 ，若是编写不当 ，可能导致JSON反序列化远程代码执行误差。攻击者通过发送一个全心结构的JSON序列化恶意代码 ，当程序执行JSON反序列化的历程中执行恶意代码 ，从而导致远程代码执行。

更新时间：

20200609












事务名称：

TCP_通用_Java反序列化_ysoserial恶意数据使用

清静类型：

清静误差

事务形貌：

检测到源IP主机正在通过TCP发送ysoserial天生的恶意JAVA反序列化数据对目的主机举行攻击。

若会见的应用保存误差JAVA反序列化误差 ，攻击者可以发送全心结构的Java序列化工具 ，远程执行恣意代码或下令。

更新时间：

20200609










事务名称：

HTTP_木马后门_Win32.Poulight_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了木马Poullight。

Poulight是一款来自俄罗斯的C#语言编写的窃密木马 ，可以窃取受害主机的敏感信息 ，包括一些Skype等软件的登录凭证、电子钱币钱包数据等 ，并吸收C2服务器的下令执行下载其它�？�。

更新时间：

20200609










事务名称：

TCP_Windows_远程读取域成员

清静类型：

可疑行为

事务形貌：

检测到源IP对目的主机远程读取域内组成员或遍历域内成员的行为。

Microsoft Windows是微软宣布的很是盛行的操作系统。

在获取到主机权限后 ，黑客通� ；崤涛视蛑卫碓� ，域控制器主机名来网络域内信息。

更新时间：

20200609










事务名称：

TCP_Windows_远程修改注册表

清静类型：

可疑行为

事务形貌：

检测到源IP对目的主机举行远程注册表写入的行为.

Microsoft Windows是微软宣布的很是盛行的操作系统。

若是攻击者乐成远程毗连 Microsoft 注册表 ，就可能获取目的服务器的注册表信息 ，并修改其中内容。

更新时间：

20200609











修改事务


事务名称：

TCP_木马_TrickBot.Pwgrab_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了木马TrickBot。

TrickBot是一个功效强盛的窃密木马。Trickbot新增添了一个窃密�？�Pwgrab ，可以窃取主流浏览器如IE、Firefox、Chrome、Edge生涯的账号密码及Cookies等数据� ；箍梢郧匀�Outlook、FileZilla、WinSCP等客户端生涯的账号密码。

更新时间：

20200609










事务名称：

TCP_木马_Win32.TrickBot_NetworkCollectorModule

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了木马TrickBot。

TrickBot是一个功效强盛的窃密木马。Trickbot银行木马中包括Network Collector Module ，该�？榭梢运鸭没畔⑸洗练衿�。

更新时间：

20200609









事务名称：

TCP_SMB_NMAP扫描

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用对目的主机使用NMAP通过SMB协议获取盘算机信息的行为。

更新时间：

20200609








事务名称：

TCP_Cisco_SmartInstall_远程代码执行误差[CVE-2018-0171&CVE-2016-1349]

清静类型：

清静误差

事务形貌：

检测到试图通过Cisco Smart Install远程代码执行误差举行攻击的行为。

Cisco IOS Software是美国思科（Cisco）公司为其网络装备开发的操作系统。

Cisco IOS Software中的Smart Install功效保存输入验证误差 ，该误差源于程序没有准确的校验数据包数据。远程攻击者可通过向TCP 4786端口上的受影响装备发送特制的Smart Install新闻使用该误差造成拒绝服务（装备重新加载）或执行恣意代码。

更新时间：

20200609













事务名称：

HTTP_木马后门_CobaltStrike.Stager_毗连C2服务器

清静类型：

木马后门

事务形貌：

检测到由黑客工具 CobaltStrike 天生的后门 Stager 试图毗连远程服务器下载木马 CobaltStrike.Beacon, 源IP所在的主机可能被植入了CobaltStrike.Stager。CobaltStrike.Beacon执行后攻击者可使用CobaltStrike完全控制受害机械 ，并举行横向移动。

CobatStrike是一款基于java编写的全平台多方协同后渗透攻击框架。CobaltStrike集成了端口转发、端口扫描、socket署理、提权、垂纶、远控木马等功效。该工具险些笼罩了APT攻击链中所需要用到的各个手艺环节 ，深受黑客们的喜欢。

更新时间：

20200609














事务名称：

TCP_Windows_系统默认共享毗连

清静类型：

清静审计

事务形貌：

检测到源IP对目的主机举行默认毗连的行为 ，并传输pe文件的行为。

更新时间：

20200609







事务名称：

TCP_清静误差_Microsoft_SMBV3_远程代码执行误差[CVE-2020-0796]

清静类型：

清静误差

事务形貌：

检测到源IP主机可能正在对目的主机举行CVE-2020-0796误差使用的行为。

更新时间：

20200609