2020-04-21

宣布时间 2020-04-21

新增事务


事务名称：

TCP_后门_Win.BACKSPACE/Lecna_毗连C2效劳器

清静类型：

木马后门

事务形貌：

检测到后门试图毗连远程效劳器。。。。。。。

BACKSPACE是一个后门，，，，，，也就是"Lecna"，，，，，，功效很是强盛，，，，，，可完全控制被熏染机械。。。。。。。

BACKSPACE可以窃取敏感信息，，，，，，如盘算机名称、系统版本，，，，，，IP地点等，，，，，，具有历程治理、文件治理、注册表治理、执行下令等。。。。。。。

更新时间：

20200421











事务名称：

TCP_木马_Sidewinder.PreBotModules_毗连C2效劳器

清静类型：

木马后门

事务形貌：

检测到 Sidewinder.PreBotModules 试图毗连远程效劳器。。。。。。。源IP所在的主机可能被植入了后门 Sidewinder.PreBotModules。。。。。。。

PreBotModules 是APT组织"响尾蛇"（SideWinder、T-APT-04）用c#写的信息网络模�？？？？？？�，，，，，，该后门模�？？？？？？橥ǔＪ褂�Office诱饵文档下发，，，，，，植入主机后会网络受害主机的盘算机名、用户名、MAC地点、启用的效劳和历程、更新补丁等指纹信息发送至远程效劳器。。。。。。。

更新时间：

20200421











修改事务


事务名称：

HTTP_后门_FakeSanforUD_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程效劳器。。。。。。。源IP所在的主机可能被植入了FakeSanforUD。。。。。。。

深信服VPN客户端保存误差，，，，，，在升级时会下载执行名为SangforUD.exe的更新程序。。。。。。。但VPN客户端仅对SangforUD.exe做了简朴的版本比照，，，，，，没有做任何的清静检查。。。。。。。APT组织Darkhotel攻破了VPN效劳器，，，，，，改动升级设置文件并把SangforUD.exe替换为恶意的后门FakeSanforUD。。。。。。。

FakeSanforUD是一个后门，，，，，，通过下载执行shellcode，，，，，，最终下载焦点的后门恶意组件thinmon.dll。。。。。。。焦点后门组件thinmon.dll会解密云端下发的另外一个加密文件Sangfor_tmp_1.dat，，，，，，以加载、线程启动、注入历程3种方法中的一种启动dat文件 ，，，，，，最终由dat文件实现与效劳器交互执行恶意操作。。。。。。。

更新时间：

20200421















事务名称：

DNS_木马_可疑矿池域名剖析请求

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程效劳器。。。。。。。源IP所在的主机可能被植入了挖矿木马。。。。。。。

更新时间：

20200421