2019-12-31

颁布功夫 2019-12-31

新增事务


事务名称：

TCP_后门_Gh0st_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

Gh0st远控是一个国内的远控法式，能够对远程主机进行肆意操作 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照Gh0st样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着Gh0st节造端，是Gh0st的C&C服务

 。

 Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231















事务名称：

TCP_后门_njRat_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

njRat远控是一个职能壮大是远控 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照njRat样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着njRat节造端，是njRat的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231














事务名称：

TCP_后门_KG.Rat_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

KG.Rat是一个后门，衔接远程服务器，接受执行黑客指令 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照KG.Rat样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着KG.Rat节造端，是KG.Rat的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191224














事务名称：

TCP_后门_ircBot_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

ircBot是基于irc和谈的僵尸网络，重要职能是对指定指标主机提议DDoS攻击 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照ircBot样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着ircBot节造端，是ircBot的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231














事务名称：

TCP_后门_Win32.Remcos_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

Remcos是一个职能壮大的远控，运行后可齐全节造被植入机械 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照Remcos样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着Remcos节造端，是Remcos的C&C服务器 。

 Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231














事务名称：

TCP_后门_Win32.KilerRat_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

KilerRat是一个职能极度壮大的后门，CSharp说话编写 。运行后，能够齐全节造被植入机械 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照KilerRat样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着KilerRat节造端，是KilerRat的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231















事务名称：

TCP_后门_Linux.XOR.DDoS_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

Linux.XoR.DDoS是一个僵尸网络，重要职能是对指定指标主机提议DDoS攻击 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照XoR.DDoS样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着XoR.DDoS节造端，是XoR.DDoS的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231














事务名称：

UDP_后门_Win32.ZeroAcess_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

ZeroAcess是一个后门，运行后，注入其他过程 。下载其他病毒或者配相信息或者�？榈然蚯匀∶舾行畔� 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照ZeroAcess样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着ZeroAcess节造端，是ZeroAcess的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231















事务名称：

TCP_后门_Linux.BillGates_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

BillGates是Linux平台下的一个僵尸网络，重要职能是针对指定指标进行DDoS攻击 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照BillGates样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着BillGates节造端，是BillGates的C&C服务器 。

Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231















事务名称：

TCP_后门_DDoS.Win32.Nitol_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描 。

Nitol是最近最活跃的恶意DDoS攻击家族之一 。

本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描 。源IP通常属于Shodan扫描主机，主张IP是客户主机 。源IP主机仿照Nitol样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着Nitol节造端，是Nitol的C&C服务器 。

 Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描 。

更新功夫：

20191231














事务名称：

HTTP_木马_ISR.stealer_衔接

安全类型：

木马后门

事务描述：

检测到 ISR stealer 试图衔接远程服务器,源IP地点的主机可能被植入了ISR stealer 。

ISR Stealer是Hackhound Stealer的批改版,使用VB编写的，通�；崾褂�.NET包装器包装自身 。ISR Stealer 是一个密码窃取法式，它会从浏览器和邮箱类软件中窃取受害者的账号密码，并且具备常见的远控号令，如下载和执行其他恶意软件，从节造服务器接管号令，将特定信息中继回节造服务器 。

更新功夫：

20191231












事务名称：

TCP_木马_Allakore.Remote_衔接

安全类型：

木马后门

事务描述：

检测到木马 Allakore_Remote 试图衔接远程服务器 。源IP地点的主机可能被植入了 Allakore_Remote 木马 。

AllaKore Remote 是用Delphi XE6和Delphi 7编写的开源远控工具 。AllaKore Remote拥有以下职能：远程接见、数据压缩、文件接见、谈天 。

更新功夫：

20191231











批改事务


事务名称：

HTTP_Apache_Commons_Fileupload_反序列化缝隙[CVE-2016-1000031]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Apache_Commons_Fileupload_反序列化缝隙攻击主张IP主机的行为

更新功夫：

20191231








事务名称：

TCP_冰蝎_jspjspx_webshell_上传

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传冰蝎 jspjspxwebshell木马

更新功夫：

20191231







事务名称：

TCP_冰蝎_asp_webshell_上传

安全类型：

木马后门

事务描述：

检测到源IP主机正向主张主机上传冰蝎 aspwebshell木马

更新功夫：

20191231







事务名称：

TCP_后门_Linux.BillGates_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了后门BillGates 。

BillGates是Linux平台下的一个僵尸网络，重要职能是针对指定指标进行DDoS攻击 。

更新功夫：

20191231










事务名称：

DNS_后门_Win32.KcnaBot_衔接

安全类型：

木马后门

事务描述：

检测到后门试图衔接远程服务器 。源IP地点的主机可能被植入了后门KcnaBot 。

KcnaBot是一个职能极度壮大的后门，利用DNS和谈与C&C服务器通讯 。

更新功夫：

20191231








事务名称：

HTTP_木马后门_DiamondFox_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了DiamondFox 。

DiamondFox是基于VB的窃密木马，职能极度壮大，能够窃取各类账号密码 。有反虚构机以及沙箱职能 �；褂�DDoS职能 。

更新功夫：

20191231









事务名称：

HTTP_木马_Win32.Krypton_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了木马Krypton 。

Krypton是一个木马法式，运行后能够窃取受害主机的敏感信息 。

更新功夫：

20191231