2018-08-23

宣布时间 2018-08-23

新增事务


事务名称：

TCP_木马后门_DMShell++_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到DMShell++试图毗连远程服务器 。源IP所在的主机可能被植入了DMShell++ 。 DMShell ++是一个用PowerShell编写的后门程序 。当DMShell++和服务器建设TCP毗连后，首先挪用SendLoginInfo函数，该函数以TOKEN | * | IP ADDRESS | * | WINDOWS VERSION | * | USER NAME的形式向C2服务器发送有关系统的信息 。一旦发送了第一个数据包，剧本就会进入无限循环，期待来自C2服务器的下令 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

TCP_后门_Win32.NewCore_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到NewCore试图毗连远程服务器 。源IP所在的主机可能被植入了NewCore 。 NewCore是一个很是强盛的后门，运行后可完全控制被植入机械 。NewCore的焦点�？槭谴覥&C服务器上下载下来的 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

HTTP_Struts2_S2-057远程代码执行攻击[CVE-2018-11776]

事务级别：

高级事务

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过Apache Struts2框架下令执行误差攻击目的IP主机 。 Apache Struts是美国阿帕奇（Apache）软件基金会认真维护的一款用于建设企业级Java Web应用的开源框架 。 Apache Struts 2.3至2.3.34版本与2.5至2.5.16版本中保存远程下令执行误差 。远程攻击者在对方Struts2的XML设置中的namespace值未设置且（Action Configuration）中未设置或用通配符namespace时使用该误差执行恣意OGNL表达式 。

更新时间：

20180823

默认行动：

扬弃

修改事务


事务名称：

HTTP_WEB下令注入攻击

事务级别：

中级事务

清静类型：

CGI攻击 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机举行下令注入攻击 。 Web下令注入攻击就是WEB系统对用户输入的数据没有举行严酷的过滤就使用，从而给黑客留下了可乘之机，攻击者可以在提交的数据中加入一些系统下令获得服务器的敏感信息或者数据 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

HTTP_后门_Win32.Neutrino_毗连

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程服务器 。源IP所在的主机可能被植入了后门Neutrino 。 Neutrino是一个僵尸网络，功效很是强盛，运行后可完全控制被植入机械 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Remcos_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器 。源IP所在的主机可能被植入了Remcos 。 Remcos是一个功效强盛的远控，运行后可完全控制被植入机械 。 

更新时间：

20180823

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Kortos_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器 。源IP所在的主机可能被植入了Kortos 。 Kortos是一个基于AutoIT剧本的后门，运行后可完全控制被植入机械 。 

更新时间：

20180823

默认行动：

扬弃

事务名称：

HTTP_Malware_yty.Downloader_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器 。yty.downloader是一个下载程序，认真检索包括附加功效的�？�/插件 。 yty是一种新的�？榛褚馊砑蚣�，主要关注文件网络，截图和键盘纪录 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

HTTP_Malware_yty_上传信息

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器 。源IP所在的主机可能被植入了yty，正在上传信息 。 yty是一种新的�？榛褚馊砑蚣�，主要关注文件网络，截图和键盘纪录 。

更新时间：

20180823

默认行动：

扬弃

事务名称：

HTTP_木马_msfte(T-APT-02)_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器 。源IP所在的主机可能被植入了msfte 。 msfte是一个功效强盛的木马，主要功效有：插件加载、上传插件网络的文件和吸收C2下发的远程控制下令 。

更新时间：

20180823

默认行动：

扬弃