每周升级通告-2021-05-11

宣布时间 2021-05-12

新增事务


事务名称：

TCP_可疑行为_tracert下令_远程下令执行

清静类型：

可疑行为

事务形貌：

检测到主机正在向源ip返回体中包括系统下令tracert的执行回显 ，可能是黑客攻击导致系统执行下令的返回 ，可能主机已经失陷

更新时间：

20210511


事务名称：

TCP_后门_Rotajakiro.Oceanlotus(海莲花)_毗连

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程服务器。源IP所在的主机可能被植入了后门Rotajakiro。Rotajakiro疑似是APT组织海莲花所的使用后门 ，功效很是强盛 ，运行后可以完全控制被熏染机械。

更新时间：

20210511


事务名称：

HTTP_清静误差_Opentsdb_远程代码执行误差[CVE-2020-35476][CNNVD-202012-1211]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Opentsdb远程下令执行误差对目的主机举行攻击的行为。OpenTSDB(OpenTimeSeriesDataBase)是基于HBASE构建的漫衍式、可扩展的时间序列数据库。OpenTSDB可以获取电力行业、化工行业、物联网行业等种种型实时监测、检查与剖析装备所收罗、爆发的时间序列数据 ，并提供存储、索引以及图形化服务 ，使其易于会见和可视化。OpenTSDB2.4.0及之前版本中保存远程代码执行误差 ，攻击者可通过结构恶意请求实现远程代码执行。

更新时间：

20210511


事务名称：

HTTP_可疑行为_copy_下令执行回显

清静类型：

清静误差

事务形貌：

目今主机正在返回copy下令执行效果 ，copy是主机复制文件的下令 ，攻击者常用下令 ，若是返回体内里泛起相关名堂的内容 ，则可能主机已被攻陷

更新时间：

20210511


事务名称：

HTTP_天融信数据防走漏系统_越权修改管理员误差

清静类型：

清静误差

事务形貌：

检测到源ip正在使用天融信数据防走漏系统的越权误差举行管理员密码修改；天融信数据防走漏系统(简称:TopDLP)是以深度内容识别手艺为焦点,在数据存储、传输和使用历程中,发明并识别敏感数据隐患,确保敏感数据正当使用,避免敏感数据走漏的数据清静�；は低�。

更新时间：

20210511


事务名称：

HTTP_APT攻击_Bitter(蔓灵花)_Win32.Downloader_毗连C2

清静类型：

木马后门

事务形貌：

蔓灵花（BITTER）是疑似具有南亚配景的APT组织 ，因其早期特马通讯的数据包头部以“BITTER”作为标识而得名。该组织主要针对周边国家地区的政府 ，军工业 ，电力 ，核等单位举行攻击 ，以窃取敏感资料为目的 ，具有强烈的政治配景。该事务是一个.NET平台的Downloader,获取目今盘算机用户名、系统版本、系统位数、MAC地址等信息 ，将获取的信息拼接上传到C2服务器 ，并从C2服务器下载文件执行。

更新时间：

20210511


事务名称：

HTTP_可疑行为_everything搜索页面被会见

清静类型：

CGI攻击

事务形貌：

Everything是Windows上一款搜索引擎 ，由于设置中开启了ETP/FTP和HTTP服务 ，并未设置账号密码 ，导致可以会见服务器的文件。若是攻击ip是授权ip ，则无需关注。

更新时间：

20210511


事务名称：

TCP_可疑行为_nslookup下令_远程下令执行

清静类型：

清静误差

事务形貌：

检测到源IP主机正在对目的IP执行nslookup下令 ，nslookup用于盘问DNS的纪录 ，盘问域名剖析是否正常 ，在网络故障时用来诊断网络问题 ，也可被攻击者用于探测机械是否可以联通外网。

更新时间：

20210511


修改事务


事务名称：

DNS_木马_可疑矿池域名剖析请求

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了挖矿木马。挖矿木马实验毗连矿池 ，受害主机变慢。

更新时间：

20210511


事务名称：

TCP_冰蝎_php_webshell_上传

清静类型：

清静误差

事务形貌：

检测到源IP主机正向目的主机上传冰蝎phpwebwhell木马,攻击者可远程控制被上传webshell主机执行恣意操作。

更新时间：

20210511


事务名称：

HTTP_Citrix_ADC_远程代码执行误差[CVE-2020-8193][CNNVD-202007-367]

清静类型：

清静误差

事务形貌：

检测到源IP正在使用Citrix_ADC的权限绕过误差 ，通过建设session ，进而提权举行代码执行攻击 ，最后导致主机失陷 ，被攻击者接受。

更新时间：

20210511


事务名称：

HTTP_清静误差_泛微OA8_前台SQL执行

清静类型：

注入攻击

事务形貌：

泛微OA是海内公司宣布的一款移动办公正台。检测到攻击者正在使用泛微OA8前台的SQL执行误差 ，通过此误差可盘问出后台密码等数据库敏感数据。

更新时间：

20210511


事务名称：

TCP_后门_Win32.Salgorea(海莲花)_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了后门Salgorea。Salgorea是海莲花所使用的强盛后门 ，主要通过邮件撒播。Salgorea运行后 ，会实验获取敏感信息 ，也可执行C&C返回指令 ，去下载其他后门。窃取敏感信息。

更新时间：

20210511


事务名称：

TCP_僵尸网络_IoT.Moobot_毗连

清静类型：

木马后门

事务形貌：

检测到Moobot试图毗连C&C服务器。源IP主机可能被植入了僵尸网络Moobot。Moobot是一个IoT僵尸网络 ，主要功效是对指定目的提倡DDoS攻击 ，通过种种误差撒播自身。

更新时间：

20210511


事务名称：

HTTP_清静误差_亿邮电子邮件系统_远程下令执行

清静类型：

清静误差

事务形貌：

检测到源ip主机正在使用亿邮电子邮件系统使用POST要领在目的ip主机执行远程代码执行操作 ，亿邮电子邮件系统是由北京亿中邮信息手艺有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、政府、高校用户的国产邮件系统。亿邮电子邮件系统接纳了自主研发MTA引擎、漫衍式文件系统存储方法、多对列机制、ECS存储子系统、Cache系统等多项焦点手艺 ，提供了富厚的邮件功效。

更新时间：

20210511