2018-08-03

宣布时间 2018-08-03

新增事务

事务名称：

TCP_木马后门_Win32.Sunorcal_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入Sunorcal。。。。 。 Sunorcal是一个后门，，， ，，，功效很是强盛。。。。 。运行后，，， ，，，可完全控制被植入机械。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连4

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。 。源IP所在的主机可能被植入了Poison Ivy。。。。 。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，，允许攻击者完全控制被植入机械。。。。 。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_木马后门_Kronus_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了Kronus。。。。 。 Kronus是一个基于CSharp的远控，，， ，，，功效很是强盛。。。。 。运行后，，， ，，，可完全控制被植入机械。。。。 。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_update.tmp(APT-C-12)_毗连效劳器

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到后门试图毗连远程效劳器。。。。 。 update.tmp文件为一个DLL,并有一个名为jj的导出函数。。。。 。其首先会对目的主机举行信息网络，，， ，，，信息网络后会首先向远程控制效劳器发送上线信息。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_Sixtees_Shell上传误差

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正在使用Wordpress Sixtees Shell上传误差攻击目的IP主机的行为。。。。 。Wordpress Sixtees主题中保存Shell上传误差。。。。 。攻击者使用该误差上传恣意文件到受影响盘算机，，， ，，，导致在受影响应用程序上下文中执行恣意代码。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_Dandelion主题_Shell上传误差

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP主机正在使用Wordpress Dandelion主题Shell上传误差攻击目的IP主机的行为。。。。 。Wordpress Dandelion主题中保存Shell上传误差。。。。 。攻击者使用该误差上传恣意文件到受影响盘算机，，， ，，，导致在受影响应用程序上下文中执行恣意代码。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了winfont。。。。 。 winfont.exe为文档网络�？？？�，，， ，，，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，，该样本会建设一个240000ms距离的准时器，，， ，，，并每距离240000ms遍历特定后缀文件，，， ，，，最后结构POST包，，， ，，，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_Zeus毗连9

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了Zeus木马。。。。 。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了木马Avzhan。。。。 。 Avzhan是一个后门，，， ，，，主要功效是对指定目的主机提倡DDoS攻击。。。。 。�； ；箍梢韵略仄渌《镜奖恢踩牖�。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_AppScan9_Content_Web误差扫描_2

事务级别：

初级事务 

清静类型：

清静扫描 

事务形貌：

检测到源IP主机正在使用AppScan 9误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，，实验扫描发明Web应用系统误差，，， ，，，为进一步入侵目的IP主机做准备。。。。 。 AppScan 9是一款商用的针对Web应用的清静误差扫描软件。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Acunetix11_AWVS11_Content_Web误差扫描1_2

事务级别：

初级事务 

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用Acunetix11(AWVS11)误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，，实验扫描发明Web应用系统误差，，， ，，，为进一步入侵目的IP主机做准备。。。。 。 Acunetix11(AWVS11)是一款商用的针对Web应用的清静误差扫描软件。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_SQL过失信息泄露_4_2

事务级别：

初级事务 

清静类型：

清静审计 

事务形貌：

检测到源IP主机正试图使用目的IP主机的SQL过失信息，，， ，，，可能造成信息泄露。。。。 。 SQL（Structured Query Language)结构化盘问语言，，， ，，，是一种数据库盘问和程序设计语言，，， ，，，用于存取数据以及盘问、更新和治理关系数据库系统。。。。 。

更新时间：

20180803

默认行动：

扬弃

修改事务

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1 => HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2 => HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连 => TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了木马Avzhan。。。。 。 Avzhan是一个后门，，， ，，，主要功效是对指定目的主机提倡DDoS攻击。。。。 。�； ；箍梢韵略仄渌《镜奖恢踩牖�。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连 => HTTP_木马_FileUploader.winfont(白象)_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了winfont。。。。 。 winfont.exe为文档网络�？？？�，，， ，，，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，，该样本会建设一个240000ms距离的准时器，，， ，，，并每距离240000ms遍历特定后缀文件，，， ，，，最后结构POST包，，， ，，，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_DDoS.Win32.Nitol_毗连

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了木马。。。。 。 DDoS.Win32.Nitol是迩来最活跃的恶意DDoS攻击家族之一。。。。 。 DDoS.Win32.Nitol毗连远程效劳器，，， ，，，吸收黑客指令，，， ，，，向目的域或网站提倡DDoS攻击。。。。 。�； ；箍梢韵略仄渌《镜奖谎净�。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 。 webshell是web入侵的剧本攻击工具。。。。 。简朴说，，， ，，，webshell就是一个用asp或php等编写的木马后门，，， ，，，攻击者在入侵了一个网站后，，， ，，，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，，与正常的网页文件混在一起。。。。 。然后攻击者就可以用web的方法，，， ，，，通过该木马后门控制网站效劳器，，， ，，，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。 。webshell可以穿越防火墙，，， ，，，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，，因此不会被防火墙阻挡。。。。 。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，，只会在网站的web日志中留下一些数据提交纪录，，， ，，，治理员较难看收支侵痕迹。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_SQL过失信息泄露_4

事务级别：

初级事务

清静类型：

清静审计 

事务形貌：

检测到源IP主机正试图使用目的IP主机的SQL过失信息，，， ，，，可能造成信息泄露。。。。 。 SQL（Structured Query Language)结构化盘问语言，，， ，，，是一种数据库盘问和程序设计语言，，， ，，，用于存取数据以及盘问、更新和治理关系数据库系统。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了木马Avzhan。。。。 。 Avzhan是一个后门，，， ，，，主要功效是对指定目的主机提倡DDoS攻击。。。。 。�； ；箍梢韵略仄渌《镜奖恢踩牖�。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_DDoS.Win32.Nitol变种_毗连

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了Nitol。。。。 。 DDoS.Win32.Nitol是很是�； ；钤镜亩褚釪DoS攻击家族之一，，， ，，，并且变种极其多。。。。 。 DDoS.Win32.Nitol毗连远程效劳器，，， ，，，吸收黑客指令，，， ，，，向目的域或网站提倡DDoS攻击。。。。 。�； ；箍梢韵略仄渌《镜奖谎净�。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_Zeus毗连3

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了Zeus木马。。。。 。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了winfont。。。。 。 winfont.exe为文档网络�？？？�，，， ，，，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，，该样本会建设一个240000ms距离的准时器，，， ，，，并每距离240000ms遍历特定后缀文件，，， ，，，最后结构POST包，，， ，，，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Acunetix11_AWVS11_Content_Web误差扫描1

事务级别：

初级事务 

清静类型：

清静扫描 

事务形貌：

检测到源IP主机正在使用Acunetix11(AWVS11)误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，，实验扫描发明Web应用系统误差，，， ，，，为进一步入侵目的IP主机做准备。。。。 。 Acunetix11(AWVS11)是一款商用的针对Web应用的清静误差扫描软件。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_AppScan9_Content_Web误差扫描

事务级别：

初级事务

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用AppScan 9误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，，实验扫描发明Web应用系统误差，，， ，，，为进一步入侵目的IP主机做准备。。。。 。 AppScan 9是一款商用的针对Web应用的清静误差扫描软件。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。 。源IP所在的主机可能被植入了Poison Ivy。。。。 。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，，允许攻击者完全控制被植入机械。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连3

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。 。源IP所在的主机可能被植入了Poison Ivy。。。。 。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，，允许攻击者完全控制被植入机械。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_file-away插件_文件泄露误差

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP主机正在使用WordPress file-away插件文件泄露误差攻击目的IP主机的行为。。。。 。 WordPress file-away插件保存文件泄露误差，，， ，，，远程攻击者可借助‘../’字符使用该误差读取恣意文件。。。。 。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_勒索软件_GandCrab_v4

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到勒索软件试图毗连远程效劳器。。。。 。源IP所在的主机可能被植入了GandCrab。。。。 。 GandCrab是著名勒索软件。。。。 。运行后，，， ，，，受害者主机文件会被加密，，， ，，，并要求缴纳赎金。。。。 。 外联链接用于举行设置文件下载，，， ，，，用于举行勒索软件的落地。。。。 。

更新时间：

20180803

默认行动：

扬弃