2020-04-21

颁布功夫 2020-04-21

新增事务


事务名称：

TCP_后门_Win.BACKSPACE/Lecna_衔接C2服务器

安全类型：

木马后门

事务描述：

检测到后门试图衔接远程服务器。。。。。

BACKSPACE是一个后门，，，，，，，也就是"Lecna"，，，，，，，职能极度壮大，，，，，，，可齐全节造被习染机械。。。。。

BACKSPACE能够窃取敏感信息，，，，，，，如推算机名称、系统版本，，，，，，，IP地址等，，，，，，，拥有过程治理、文件治理、注册表治理、执行号令等。。。。。

更新功夫：

20200421











事务名称：

TCP_木马_Sidewinder.PreBotModules_衔接C2服务器

安全类型：

木马后门

事务描述：

检测到 Sidewinder.PreBotModules 试图衔接远程服务器。。。。。源IP地点的主机可能被植入了后门 Sidewinder.PreBotModules。。。。。

PreBotModules 是APT组织"响尾蛇"（SideWinder、T-APT-04）用c#写的信息网络� ？？？？？？？？�，，，，，，，该后门� ？？？？？？？？橥ǔＪ褂�Office钓饵文档下发，，，，，，，植入主机后会网络受害主机的推算机名、用户名、MAC地址、启用的服务和过程、更新补丁等指纹信息发送至远程服务器。。。。。

更新功夫：

20200421











批改事务


事务名称：

HTTP_后门_FakeSanforUD_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器。。。。。源IP地点的主机可能被植入了FakeSanforUD。。。。。

深折服VPN客户端存在缝隙，，，，，，，在升级时会下载执行名为SangforUD.exe的更新法式。。。。。但VPN客户端仅对SangforUD.exe做了单一的版本对比，，，，，，，没有做任何的安全查抄。。。。。APT组织Darkhotel攻破了VPN服务器，，，，，，，篡改升级配置文件并把SangforUD.exe代替为恶意的后门FakeSanforUD。。。。。

FakeSanforUD是一个后门，，，，，，，通过下载执行shellcode，，，，，，，最终下载主题的后门恶意组件thinmon.dll。。。。。主题后门组件thinmon.dll会解密云端下发的另表一个加密文件Sangfor_tmp_1.dat，，，，，，，以加载、线程启动、注入过程3种方式中的一衷祠动dat文件 ，，，，，，，最终由dat文件实现与服务器交互执行恶意操作。。。。。

更新功夫：

20200421















事务名称：

DNS_木马_可疑矿池域名解析要求

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器。。。。。源IP地点的主机可能被植入了挖矿木马。。。。。

更新功夫：

20200421