2019-11-26
宣布时间 2019-11-26新增事件
事件名称：
TCP_SCADA_Schneider_Electric_U.motion_Builder_输入验证漏洞[CVE-2018-7787]
宁静类型：
宁静漏洞
事件描述：
检测到试图通过利用Schneider
Electric U.motion Builder输入验证漏洞来执行攻击的行为。
Schneider Electric
U.motion Builder是法国施耐德电气（Schneider Electric）公司的一套自动化机制构建解决方案。
Schneider Electric
U.motion Builder 1.3.4之前版本中存在输入验证漏洞，该漏洞源于法式没有正确的验证HTTP GET请求中‘context’参数的输入。远程攻击者可利用该漏洞泄露敏感信息。
更新时间：
20191126
事件名称：
HTTP_LCDS_LAquis_SCADA宁静漏洞[CVE-2018-18996]
宁静类型：
宁静漏洞
事件描述：
检测到试图通过利用LCDS LAquis
SCADA宁静漏洞来执行命令的行为
LCDS LAquis SCADA是巴西LCDS公司的一套SCADA（数据收罗与监视控制）系统。该系统主要用于对拥有通信技术的设备进行数据收罗和过程控制。
LCDS LAquis SCADA
4.1.0.3870版本中存在宁静漏洞，该漏洞源于法式没有进行正确地授权或过滤便接收了用户输入。远程攻击者可利用该漏洞在系统上执行代码。
更新时间：
20191126
事件名称：
HTTP_LAquis_SCADA_HTTP参数命令注入漏洞[CVE-2018-18992]
宁静类型：
宁静漏洞
事件描述：
检测到试图通过利用LAquis
SCADA PAGINA TITULO HTTP参数命令注入漏洞来执行命令的行为。
LCDS LAquis SCADA是巴西LCDS公司的一套SCADA（数据收罗与监视控制）系统。该系统主要用于对拥有通信技术的设备进行数据收罗和过程控制。
LCDS LAquis SCADA
4.1.0.3870版本中存在宁静漏洞，该漏洞源于法式没有进行正确地过滤便接收了用户输入。远程攻击者可利用该漏洞在系统上执行代码。
HTTP要求acompanhamentotela.lhtml的PAGINA参数和relatorioindividual.lhtml的请求中的TITULO参数都不适合命令注入字符。 攻击者可以发送特制的HTTP GET或POST请求，以在目标计算机上执行命令。
更新时间：
20191119
事件名称：
TCP_Advantech_WebAccess_SCADA_BwPSLinkZip_Stack_Buffer_Overflow
[CVE-2018-7499]
宁静类型：
缓冲溢出
事件描述：
检测到试图通过利用Advantech
WebAccess BwPSLinkZip 基于栈的缓冲区溢出漏洞来执行任意代码的行为。
Advantech WebAccess是研华（Advantech）公司的产物。Advantech WebAccess是一套基于浏览器架构的HMI/SCADA软件。该软件支持动态图形显示和实时数据控制，并提供远程控制和管理自动化设备的功效。WebAccess Dashboard是其中的一个仪表板组件；WebAccess
Scada Node是其中的一个监控节点组件。WebAccess/NMS是一套用于网络管理系统（NMS）的网络浏览器基础套件。
该漏洞是由于在将用户提供的数据复制到BwPSLinkZip.exe的堆栈缓冲区中时缺少界限检查所致。
通过构建特殊的RPC请求，攻击者可以在WebAccess进程的上下文中导致任意代码执行或异常终止。
更新时间：
20191126
修改事件
事件名称：
TCP_后门_KG.Rat_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。
源IP所在的主机可能被植入了木马。
KuGou.Rat是一个后门，连接远程服务器，接受执行黑客指令，可以完全控制被熏染机器。试图获取敏感，如记录按键信息，获取焦点窗口的标题。
更新时间：
20191126
事件名称：
TCP_后门_PoisonIvy_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了木马。
Poison Ivy是一个非常流行的远程控制工具，允许攻击者完全控制被植入机器。
更新时间：
20191126
事件名称：
TCP_后门_Win32.WarZoneRat_连接
宁静类型：
木马后门
事件描述：
检测到后门试图连接远程服务器。源IP所在的主机可能被植入了WarZoneRat。
WarZoneRat是一个功效强大的远控，运行后可完全控制被植入机器。
更新时间：
20191126
事件名称：
TCP_后门_幽灵远控可疑变种_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。
源IP所在的主机可能被植入了木马。
幽灵远控法式是利用一个凭据Gh0st远控的源码修改而来的后门。运行后可以完全控制被熏染机器。
更新时间：
20191126
事件名称：
TUDP_后门_Win32.ZeroAcess_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。
源IP所在的主机可能被植入了木马。
Win32.ZeroAcess是一个后门，运行后，注入其他进程。下载其他病毒或者配置信息或者�？榈然蚯匀∶舾行畔�。
上报该事件有两种可能，一是源主机被熏染了，连接CC服务器；二是ZeroAcess服务器端通过shadan署理方式进行扫描行为，主要看源IP是否是本单元的IP地址。
更新时间：
20191126
事件名称：
TCP_后门_Linux.BillGates_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了后门BillGates。
BillGates是Linux平台下的一个僵尸网络，主要功效是针对指定目标进行DDoS攻击。
更新时间：
20191126
事件名称：
TCP_木马_CoinMiner_连接矿池乐成
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了CoinMiner木马。
CoinMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。
更新时间：
20191126
事件名称：
HTTP_后门_Win32.wingames(蔓灵花)_连接
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了后门wingames。
wingames是一个功效非常强大的后门，运行后，可以完全控制被植入机器。
更新时间：
20191126
事件名称：
TCP_木马_CoinMiner_实验连接矿池
宁静类型：
木马后门
事件描述：
检测到木马试图连接远程服务器。源IP所在的主机可能被植入了Coinminer木马。
CoinMiner是一款挖矿恶意法式，挖矿法式会占用CPU资源，可能导致受害主机变慢。
更新时间：
20191126
京公网安备11010802024551号