每周升级通告-2023-04-04

宣布时间 2023-04-04

新增事务


事务名称：

HTTP_误差使用_未授权会见_Apache_ShenYu_管理系统[CVE-2021-37580]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用ApacheShenYu管理系统的未授权登录误差 ，攻击者可通过该误差绕过JSONWebToken(JWT)清静认证 ，直接进入系统后台。ApacheShenYu是一个异步的 ，高性能的 ，跨语言的 ，响应式的API网关。

更新时间：

20230404

 

事务名称：

DNS_下令控制_木马后门_3CXDesktop.Backdoor_毗连服务器

清静类型：

清静误差

事务形貌：

3CXDesktop App部分版本在构建装置程序时 ，会触发攻击者嵌入的恶意代码 ，并下载下一步恶意负载至受害主机执行。

3CXDesktop App适用于Linux、MacOS和Windows。用户可使用3CXDesktop举行文字、语音、视频交互。3CX是一家VoIP IPBX软件开发公司 ，声称拥有凌驾60万家公司和1200万用户使用 ，其中包括汽车、航空航天、金融、食物饮料、政府、旅馆等多个行业的着名企业。

更新时间：

20230404

 

事务名称：

DNS_下令控制_远控后门_毒云藤_毗连C2服务器

清静类型：

清静误差

事务形貌：

发明毒云藤垂纶事务。毒云藤 ，又名绿斑、APT-C-01等 ，是一个恒久针对海内国防、政府、科技和教育领域的主要机构实验网络特工攻击运动的APT团伙 ，最早可以追溯到2007年。该组织习用鱼叉式垂纶网络攻击 ，会选取与攻击目的贴合的诱饵内容举行攻击运动 ，习用的主题包括通知、聚会质料、研究报告等或是接纳攻击时间段时势主题。除了附件投递木马外 ，毒云藤还习用垂纶网站垂纶 ，窃取目的的账户密码 ，进而获得更多主要信息。该组织主要关注偏向包括：海事、军工、涉台两岸关系、中美关系等。

更新时间：

20230404

 

事务名称：

DNS_木马_双枪木马(DoubleGun)_C2域名剖析请求

清静类型：

木马后门

事务形貌：

双枪木马自己集Rootkit和Bootkit(同时熏染MBR和VBR)于一身 ，尚有诸多对抗步伐。除此之外 ，双枪木马恶意运动相关的网络基础设施十分庞杂 ，熏染路径繁琐、撒播手段多样。该事务批注双枪木马正在请求恶意C2域名。

更新时间：

20230404

 

事务名称：

DNS_木马后门_魔盗_C2域名剖析请求

清静类型：

木马后门

事务形貌：

2022年9月 ，我们监测到一批伪装成CorelDraw、Notepad++、IDA Pro、WinHex等多款适用软件举行撒播的窃密木马。通过跟踪监测发明其逐日上线境内肉鸡数（以IP数盘算）最多已凌驾1.3万 ，由于该窃密木马会网络浏览器书签、邮箱账户等信息 ，故我们将命名为“魔盗”。

 

攻击者使用 “cdr[.]jyxwlkj.cn”及“cdrnb[.]jyxwlkj.cn”域名建设多个软件下载页面 ，用于投放伪装成适用软件的“魔盗”窃密木马。窃密木马运行后会网络受害者主机中已装置的软件列表与多款浏览器的历史纪录、书签数据和邮件客户端邮箱账户信息 ，并加密回传至攻击者服务器。由于部分恶意程序具备在线升级能力 ，因此攻击者可随时更改攻击载荷（如勒索、挖矿、窃密等差别目的的攻击载荷） ，给受害者造成更大损失。

更新时间：

20230404

 

事务名称：

HTTP_误差使用_文件上传_致远OA_htmlofficeservlet

清静类型：

清静误差

事务形貌：

检测到源ip主机正在使用致远OA中保存的文件上传误差举行攻击。远程攻击者在无需登录的情形下可通过向/seeyon/htmlofficeservlet发送全心结构的数据即可向目的服务器写入恣意文件 ，写入乐成后可执行恣意系统下令进而控制目的服务器。

更新时间：

20230404

 

事务名称：

HTTP_误差使用_反序列化_Apache_InLong_JDBC[CVE-2023-27296]

清静类型：

清静误差

事务形貌：

Apache InLong是一个用于海量数据的一站式集成框架 ，提供自动、清静和可靠的数据传输功效。InLong同时支持批处置惩罚和流数据处置惩罚 ，为基于流数据构建数据剖析、建模和其他实时应用程序提供了强盛的能力。由于其保存不清静的反序列化误差 ，攻击者可通过全心结构的payload攻击目的服务器 ，造成恣意代码执行或恣意文件读取。

更新时间：

20230404

 

事务名称：

HTTP_误差使用_代码执行_pyLoad-pyimport[CVE-2023-0297]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用目的主机上的pyLoad（小于0.5.0b3.dev31） ，使用js2py功效的未授权误差 ，结构恶意python代码举行攻击。pyLoad是一个用Python编写的免费和开源下载管理器 ，可用于NAS、下一代路由器、无头家庭服务器以及任何能够毗连到互联网并支持Python编程语言的装备。

更新时间：

20230404

 

修改事务

 

事务名称：

HTTP_清静危害_设置信息_Swagger接口

清静类型：

清静审计

事务形貌：

Swagger是一款RESTFUL接口的、基于YAML、JSON语言的文档在线自动天生、代码自动天生的工具。spring框架中也会使用Swagger：springfox-swagger2（2.4）springfox-swagger-ui（2.4） ，相关文件夹被会见有信息泄露危害。

更新时间：

20230404

 

事务名称：

TCP_提权攻击_Weblogic_ForeignOpaqueReference组件_JNDI注入_代码执行[CVE-2023-21839]

清静类型：

清静误差

事务形貌：

OracleWebLogicServer是一个统一的可扩展平台 ，用于在外地和云端开发、安排和运行企业应用程序 ，例如Java。WebLogicServer提供了JavaEnterpriseEdition(EE)和JakartaEE的可靠、成熟和可扩展的实现。由于ForeignOpaqueReference类保存清静问题 ，CVE-2023-21839误差允许未经身份验证的远程攻击者通过T3/IIOP协议网络会见并破损易受攻击的WebLogic服务器 ，乐成使用此误差可能导致OracleWebLogic服务器被接受或敏感信息泄露。影响规模：OracleWebLogicServer12.2.1.3.0OracleWebLogicServer12.2.1.4.0OracleWebLogicServer14.1.1.0.0

更新时间：

20230404

 

事务名称：

TCP_误差使用_Oracle_反序列化_Weblogic_T3协议[CVE-2020-14756][CVE-2021-2394]

清静类型：

清静误差

事务形貌：

OracleWebLogicServer是一个统一的可扩展平台 ，用于在外地和云端开发、安排和运行企业应用程序 ，例如Java。WebLogicServer提供了JavaEnterpriseEdition(EE)和JakartaEE的可靠、成熟和可扩展的实现。CVE-2020-2555误差可以绕过黑名单通过反序列化触发Extractor中不清静的extract要领 ，允许未经身份验证的远程攻击者通过T3协议网络会见并破损易受攻击的WebLogic服务器 ，乐成使用此误差可能导致OracleWebLogic服务器被接受或敏感信息泄露。影响规模：OracleCoherence10.3.6.0.0OracleCoherence12.1.3.0.0OracleCoherence12.2.1.3.0OracleCoherence12.2.1.4.0

更新时间：

20230404

 

事务名称：

HTTP_僵尸网络_Andromeda_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Andromeda试图毗连远程服务器 ，源IP所在的主机可能被植入了Andromeda。Andromeda是一个�？榛慕┦� ，最原始的文件仅包括一个加载器。运行时代 ，会从C&C服务器下载种种�？� ，同时也具有反虚拟机和反调试的功效。

更新时间：

20230404

 

事务名称：

HTTP_误差使用_下令执行_宏电H8922[CVE-2021-28150][CNNVD-202105-280]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用目的IP主机宏电H8922路由器的tools.cgi里的误差举行远程下令执行攻击。H8922是深圳市宏电手艺股份有限公司的一款工业路由器 ，利2G/3G/4G无线网络为用户提供无线长距离数据传输功效 ，主要应用于金融、交通、电力、环保、工业自动化、商业连锁等行业。HongdianH89223.0.5里的tools.cgi保存清静误差 ，该误差允许非特权用户通过默认用户进入后台执行恣意系统下令。

更新时间：

20230404