每周升级通告-2021-05-11

宣布时间 2021-05-12

新增事务


事务名称：

TCP_可疑行为_tracert下令_远程下令执行

清静类型：

可疑行为

事务形貌：

检测到主机正在向源ip返回体中包括系统下令tracert的执行回显，可能是黑客攻击导致系统执行下令的返回，可能主机已经失陷

更新时间：

20210511


事务名称：

TCP_后门_Rotajakiro.Oceanlotus(海莲花)_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程服务器  。源IP所在的主机可能被植入了后门Rotajakiro  。Rotajakiro疑似是APT组织海莲花所的使用后门，功效很是强盛，运行后可以完全控制被熏染机械  。

更新时间：

20210511


事务名称：

HTTP_清静误差_Opentsdb_远程代码执行误差[CVE-2020-35476][CNNVD-202012-1211]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Opentsdb远程下令执行误差对目的主机举行攻击的行为  。OpenTSDB(OpenTimeSeriesDataBase)是基于HBASE构建的漫衍式、可扩展的时间序列数据库  。OpenTSDB可以获取电力行业、化工行业、物联网行业等种种型实时监测、检查与剖析装备所收罗、爆发的时间序列数据，并提供存储、索引以及图形化服务，使其易于会见和可视化  。OpenTSDB2.4.0及之前版本中保存远程代码执行误差，攻击者可通过结构恶意请求实现远程代码执行  。

更新时间：

20210511


事务名称：

HTTP_可疑行为_copy_下令执行回显

清静类型：

清静误差

事务形貌：

目今主机正在返回copy下令执行效果，copy是主机复制文件的下令，攻击者常用下令，若是返回体内里泛起相关名堂的内容，则可能主机已被攻陷

更新时间：

20210511


事务名称：

HTTP_天融信数据防走漏系统_越权修改治理员误差

清静类型：

清静误差

事务形貌：

检测到源ip正在使用天融信数据防走漏系统的越权误差举行治理员密码修改；天融信数据防走漏系统(简称:TopDLP)是以深度内容识别手艺为焦点,在数据存储、传输和使用历程中,发明并识别敏感数据隐患,确保敏感数据正当使用,避免敏感数据走漏的数据清静�；は低�  。

更新时间：

20210511


事务名称：

HTTP_APT攻击_Bitter(蔓灵花)_Win32.Downloader_毗连C2

清静类型：

木马后门

事务形貌：

蔓灵花（BITTER）是疑似具有南亚配景的APT组织，因其早期特马通讯的数据包头部以“BITTER”作为标识而得名  。该组织主要针对周边国家地区的政府，军工业，电力，核等单位举行攻击，以窃取敏感资料为目的，具有强烈的政治配景  。该事务是一个.NET平台的Downloader,获取目今盘算机用户名、系统版本、系统位数、MAC地点等信息，将获取的信息拼接上传到C2服务器，并从C2服务器下载文件执行  。

更新时间：

20210511


事务名称：

HTTP_可疑行为_everything搜索页面被会见

清静类型：

CGI攻击

事务形貌：

Everything是Windows上一款搜索引擎，由于设置中开启了ETP/FTP和HTTP服务，并未设置账号密码，导致可以会见服务器的文件  。若是攻击ip是授权ip，则无需关注  。

更新时间：

20210511


事务名称：

TCP_可疑行为_nslookup下令_远程下令执行

清静类型：

清静误差

事务形貌：

检测到源IP主机正在对目的IP执行nslookup下令，nslookup用于盘问DNS的纪录，盘问域名剖析是否正常，在网络故障时用来诊断网络问题，也可被攻击者用于探测机械是否可以联通外网  。

更新时间：

20210511


修改事务


事务名称：

DNS_木马_可疑矿池域名剖析请求

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器  。源IP所在的主机可能被植入了挖矿木马  。挖矿木马实验毗连矿池，受害主机变慢  。

更新时间：

20210511


事务名称：

TCP_冰蝎_php_webshell_上传

清静类型：

清静误差

事务形貌：

检测到源IP主机正向目的主机上传冰蝎phpwebwhell木马,攻击者可远程控制被上传webshell主机执行恣意操作  。

更新时间：

20210511


事务名称：

HTTP_Citrix_ADC_远程代码执行误差[CVE-2020-8193][CNNVD-202007-367]

清静类型：

清静误差

事务形貌：

检测到源IP正在使用Citrix_ADC的权限绕过误差，通过建设session，进而提权举行代码执行攻击，最后导致主机失陷，被攻击者接受  。

更新时间：

20210511


事务名称：

HTTP_清静误差_泛微OA8_前台SQL执行

清静类型：

注入攻击

事务形貌：

泛微OA是海内公司宣布的一款移动办公正台  。检测到攻击者正在使用泛微OA8前台的SQL执行误差，通过此误差可盘问出后台密码等数据库敏感数据  。

更新时间：

20210511


事务名称：

TCP_后门_Win32.Salgorea(海莲花)_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器  。源IP所在的主机可能被植入了后门Salgorea  。Salgorea是海莲花所使用的强盛后门，主要通过邮件撒播  。Salgorea运行后，会实验获取敏感信息，也可执行C&C返回指令，去下载其他后门  。窃取敏感信息  。

更新时间：

20210511


事务名称：

TCP_僵尸网络_IoT.Moobot_毗连

清静类型：

木马后门

事务形貌：

检测到Moobot试图毗连C&C服务器  。源IP主机可能被植入了僵尸网络Moobot  。Moobot是一个IoT僵尸网络，主要功效是对指定目的提倡DDoS攻击，通过种种误差撒播自身  。

更新时间：

20210511


事务名称：

HTTP_清静误差_亿邮电子邮件系统_远程下令执行

清静类型：

清静误差

事务形貌：

检测到源ip主机正在使用亿邮电子邮件系统使用POST要领在目的ip主机执行远程代码执行操作，亿邮电子邮件系统是由北京亿中邮信息手艺有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、政府、高校用户的国产邮件系统  。亿邮电子邮件系统接纳了自主研发MTA引擎、漫衍式文件系统存储方法、多对列机制、ECS存储子系统、Cache系统等多项焦点手艺，提供了富厚的邮件功效  。

更新时间：

20210511