每周升级通告-2022-02-22

宣布时间 2022-02-22

新增事件

 

事件名称：

HTTP_宁静漏洞_Apache_APISIX_batch-requests_远程代码执行

宁静类型：

宁静漏洞

事件描述：

检测到源ip正在利用ApacheAPISIX的batch-requests插件调用API并执行恶意代码 。ApacheAPISIX是一个动态、实时、高性能的API网关 。APISIX提供了富厚的流量管理特性 ，例如负载均衡、动态上游、金丝雀宣布、熔断、认证、可视察性等 。

更新时间：

20220222

 

事件名称：

DNS_木马_可疑矿池域名解析请求

宁静类型：

木马后门

事件描述：

检测到木马试图连接远程服务器 。源IP所在的主机可能被植入了挖矿木马 。挖矿木马实验连接矿池 ，受害主机变慢 。

更新时间：

20220222

 

事件名称：

HTTP_宁静漏洞_D-Link-HNAP-SoapAction-Header命令执行漏洞[CVE-2015-2051]

宁静类型：

宁静漏洞

事件描述：

D-LinkDIR-645Wired/WirelessRouter是友讯(D-Link)公司的一款智能无线路由器产物 。使用1.04b12及之前版本固件的D-LinkDIR-645中存在宁静漏洞 ，远程攻击者可通过对HNAP接口执行GetDeviceSettings操作 ，利用该漏洞执行任意代码 。

更新时间：

20220222

 

事件名称：

TCP_可疑行为_JAVA_调用LDAP_RMI远程下载class_基础事件2

宁静类型：

可疑行为

事件描述：

此事件检测JAVA远程访问class文件的行为 。在java漏洞中 ，存在大量反序列化和命令执行漏洞会使用到远程调用协议去访问恶意类的手法 ，来实现任意命令执行 ，危害较大 。

更新时间：

20220222

 

事件名称：

TCP_可疑行为_JAVA_调用LDAP远程下载class

宁静类型：

宁静漏洞

事件描述：

此事件检测JAVA调用LDAP远程下载class的行为 。LDAP ，即轻量级目录访问协议 。在java漏洞中 ，存在大量反序列化和命令执行漏洞会使用到ldap远程访问恶意类的手法 ，来实现任意命令执行 ，危害较大 。

更新时间：

20220222

 

事件名称：

TCP_可疑行为_JAVA_调用LDAP远程下载class_基础事件1

宁静类型：

宁静审计

事件描述：

检测到源IP主机对目的主机进行LDAP请求 。LDAP是一个轻量级目录访问协议 。若源IP主机存在JAVA反序列化漏洞 ，攻击者可利用JNDI来调用LDAP ，可能存在远程访问恶意工具的风险 。

更新时间：

20220222

 

事件名称：

TCP_可疑行为_whoami_all命令_中文版_远程命令执行

宁静类型：

宁静漏洞

事件描述：

流量中检测到执行了敏感系统命令的回显信息 ，说明主机有可能已经被入侵 ，且攻击者具有执行系统命令的权限 。

更新时间：

20220222

 

事件名称：

TCP_可疑行为_ipconfig命令_远程命令执行

宁静类型：

CGI攻击

事件描述：

流量中检测到执行了敏感系统命令的回显信息 ，说明主机有可能已经被入侵 ，且攻击者具有执行系统命令的权限 。

更新时间：

20220222

 

修改事件

 

事件名称：

HTTP_宁静漏洞_向日葵远控软件_远程命令执行漏洞

宁静类型：

宁静漏洞

事件描述：

向日葵远控软件（向日葵个人版forWindows<=11.0.0.33 ，向日葵简约版<=V1.0.1.43315）存在远程代码执行漏洞 ，影响Windows系统中的个人版和简约版 ，攻击者可利用该漏洞获取服务器控制权 。

更新时间：

20220222