2018-08-03

宣布时间 2018-08-03

新增事务

事务名称：

TCP_木马后门_Win32.Sunorcal_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。源IP所在的主机可能被植入Sunorcal。。。。 Sunorcal是一个后门，，， ，，， ，功效很是强盛。。。。运行后，，， ，，， ，可完全控制被植入机械。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连4

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。源IP所在的主机可能被植入了Poison Ivy。。。。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，， ，允许攻击者完全控制被植入机械。。。。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_木马后门_Kronus_毗连

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。源IP所在的主机可能被植入了Kronus。。。。 Kronus是一个基于CSharp的远控，，， ，，， ，功效很是强盛。。。。运行后，，， ，，， ，可完全控制被植入机械。。。。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_update.tmp(APT-C-12)_毗连效劳器

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到后门试图毗连远程效劳器。。。。 update.tmp文件为一个DLL,并有一个名为jj的导出函数。。。。其首先会对目的主机举行信息网络，，， ，，， ，信息网络后会首先向远程控制效劳器发送上线信息。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_Sixtees_Shell上传误差

事务级别：

中级事务

清静类型：

木马后门

事务形貌：

检测到源IP主机正在使用Wordpress Sixtees Shell上传误差攻击目的IP主机的行为。。。。Wordpress Sixtees主题中保存Shell上传误差。。。。攻击者使用该误差上传恣意文件到受影响盘算机，，， ，，， ，导致在受影响应用程序上下文中执行恣意代码。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_Dandelion主题_Shell上传误差

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP主机正在使用Wordpress Dandelion主题Shell上传误差攻击目的IP主机的行为。。。。Wordpress Dandelion主题中保存Shell上传误差。。。。攻击者使用该误差上传恣意文件到受影响盘算机，，， ，，， ，导致在受影响应用程序上下文中执行恣意代码。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了winfont。。。。 winfont.exe为文档网络� ？？？？？？？？�，，， ，，， ，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，， ，该样本会建设一个240000ms距离的准时器，，， ，，， ，并每距离240000ms遍历特定后缀文件，，， ，，， ，最后结构POST包，，， ，，， ，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_Zeus毗连9

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了Zeus木马。。。。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了木马Avzhan。。。。 Avzhan是一个后门，，， ，，， ，主要功效是对指定目的主机提倡DDoS攻击。。。�；；；；；箍梢韵略仄渌《镜奖恢踩牖�。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_AppScan9_Content_Web误差扫描_2

事务级别：

初级事务 

清静类型：

清静扫描 

事务形貌：

检测到源IP主机正在使用AppScan 9误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，， ，实验扫描发明Web应用系统误差，，， ，，， ，为进一步入侵目的IP主机做准备。。。。 AppScan 9是一款商用的针对Web应用的清静误差扫描软件。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Acunetix11_AWVS11_Content_Web误差扫描1_2

事务级别：

初级事务 

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用Acunetix11(AWVS11)误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，， ，实验扫描发明Web应用系统误差，，， ，，， ，为进一步入侵目的IP主机做准备。。。。 Acunetix11(AWVS11)是一款商用的针对Web应用的清静误差扫描软件。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_SQL过失信息泄露_4_2

事务级别：

初级事务 

清静类型：

清静审计 

事务形貌：

检测到源IP主机正试图使用目的IP主机的SQL过失信息，，， ，，， ，可能造成信息泄露。。。。 SQL（Structured Query Language)结构化盘问语言，，， ，，， ，是一种数据库盘问和程序设计语言，，， ，，， ，用于存取数据以及盘问、更新和治理关系数据库系统。。。。

更新时间：

20180803

默认行动：

扬弃

修改事务

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1 => HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2 => HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连 => TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了木马Avzhan。。。。 Avzhan是一个后门，，， ，，， ，主要功效是对指定目的主机提倡DDoS攻击。。。�；；；；；箍梢韵略仄渌《镜奖恢踩牖�。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连 => HTTP_木马_FileUploader.winfont(白象)_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了winfont。。。。 winfont.exe为文档网络� ？？？？？？？？�，，， ，，， ，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，， ，该样本会建设一个240000ms距离的准时器，，， ，，， ，并每距离240000ms遍历特定后缀文件，，， ，，， ，最后结构POST包，，， ，，， ，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_1_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_DDoS.Win32.Nitol_毗连

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了木马。。。。 DDoS.Win32.Nitol是迩来最活跃的恶意DDoS攻击家族之一。。。。 DDoS.Win32.Nitol毗连远程效劳器，，， ，，， ，吸收黑客指令，，， ，，， ，向目的域或网站提倡DDoS攻击。。。�；；；；；箍梢韵略仄渌《镜奖谎净�。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马后门_webshell_可疑webshell_上传后门程序_2_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP地点主机正在向目的IP地点主机传送可疑的webshell文件。。。。 webshell是web入侵的剧本攻击工具。。。。简朴说，，， ，，， ，webshell就是一个用asp或php等编写的木马后门，，， ，，， ，攻击者在入侵了一个网站后，，， ，，， ，经常将这些asp或php等木马后门文件安排在网站效劳器的web目录中，，， ，，， ，与正常的网页文件混在一起。。。。然后攻击者就可以用web的方法，，， ，，， ，通过该木马后门控制网站效劳器，，， ，，， ，包括上传下载文件、审查数据库、执行恣意程序下令等。。。。webshell可以穿越防火墙，，， ，，， ，由于与被控制的效劳器或远程主机交流的数据都是通过80端口转达的，，， ，，， ，因此不会被防火墙阻挡。。。。并且使用webshell一样平常不会在系统日志中留下纪录，，， ，，， ，只会在网站的web日志中留下一些数据提交纪录，，， ，，， ，治理员较难看收支侵痕迹。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_SQL过失信息泄露_4

事务级别：

初级事务

清静类型：

清静审计 

事务形貌：

检测到源IP主机正试图使用目的IP主机的SQL过失信息，，， ，，， ，可能造成信息泄露。。。。 SQL（Structured Query Language)结构化盘问语言，，， ，，， ，是一种数据库盘问和程序设计语言，，， ，，， ，用于存取数据以及盘问、更新和治理关系数据库系统。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_Win32.Avzhan.DDoS.Bot_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了木马Avzhan。。。。 Avzhan是一个后门，，， ，，， ，主要功效是对指定目的主机提倡DDoS攻击。。。�；；；；；箍梢韵略仄渌《镜奖恢踩牖�。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_DDoS.Win32.Nitol变种_毗连

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了Nitol。。。。 DDoS.Win32.Nitol是非�；；；；；钤镜亩褚釪DoS攻击家族之一，，， ，，， ，并且变种极其多。。。。 DDoS.Win32.Nitol毗连远程效劳器，，， ，，， ，吸收黑客指令，，， ，，， ，向目的域或网站提倡DDoS攻击。。。�；；；；；箍梢韵略仄渌《镜奖谎净�。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_Zeus毗连3

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了Zeus木马。。。。 

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_木马_FileUploader.winfont(白象)_毗连_1

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到木马试图毗连远程效劳器。。。。源IP所在的主机可能被植入了winfont。。。。 winfont.exe为文档网络� ？？？？？？？？�，，， ，，， ，主要功效为遍历盘算机目录获取特定文档并发送给远程效劳器，，， ，，， ，该样本会建设一个240000ms距离的准时器，，， ，，， ，并每距离240000ms遍历特定后缀文件，，， ，，， ，最后结构POST包，，， ，，， ，将获取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv类型文件内容直接通过HTTP表单提交的方法发送至远程效劳器。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Acunetix11_AWVS11_Content_Web误差扫描1

事务级别：

初级事务 

清静类型：

清静扫描 

事务形貌：

检测到源IP主机正在使用Acunetix11(AWVS11)误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，， ，实验扫描发明Web应用系统误差，，， ，，， ，为进一步入侵目的IP主机做准备。。。。 Acunetix11(AWVS11)是一款商用的针对Web应用的清静误差扫描软件。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_AppScan9_Content_Web误差扫描

事务级别：

初级事务

清静类型：

清静扫描

事务形貌：

检测到源IP主机正在使用AppScan 9误差扫描工具对目的主机举行Web应用误差扫描的行为，，， ，，， ，实验扫描发明Web应用系统误差，，， ，，， ，为进一步入侵目的IP主机做准备。。。。 AppScan 9是一款商用的针对Web应用的清静误差扫描软件。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连2

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。源IP所在的主机可能被植入了Poison Ivy。。。。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，， ，允许攻击者完全控制被植入机械。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

TCP_后门_PoisonIvy_Keepalive_毗连3

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到PoisonIvy的心跳包数据。。。。源IP所在的主机可能被植入了Poison Ivy。。。。 Poison Ivy是一个被普遍应用的远程控制工具，，， ，，， ，允许攻击者完全控制被植入机械。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_Wordpress_file-away插件_文件泄露误差

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到源IP主机正在使用WordPress file-away插件文件泄露误差攻击目的IP主机的行为。。。。 WordPress file-away插件保存文件泄露误差，，， ，，， ，远程攻击者可借助‘../’字符使用该误差读取恣意文件。。。。

更新时间：

20180803

默认行动：

扬弃

事务名称：

HTTP_勒索软件_GandCrab_v4

事务级别：

中级事务

清静类型：

木马后门 

事务形貌：

检测到勒索软件试图毗连远程效劳器。。。。源IP所在的主机可能被植入了GandCrab。。。。 GandCrab是著名勒索软件。。。。运行后，，， ，，， ，受害者主机文件会被加密，，， ，，， ，并要求缴纳赎金。。。。 外联链接用于举行设置文件下载，，， ，，， ，用于举行勒索软件的落地。。。。

更新时间：

20180803

默认行动：

扬弃