事件名稱：

TCP_木馬后門_Win32.Sunorcal_連接

事件級別：

中級事件

安全類型：

木馬后門

事件描述：

檢測到后門試圖連接遠程服務器。源IP所在的主機可能被植入Sunorcal。 Sunorcal是一個后門，功能非常強大。運行后，可完全控制被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_PoisonIvy_Keepalive_連接4

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到PoisonIvy的心跳包數據。源IP所在的主機可能被植入了Poison Ivy。 Poison Ivy是一個被廣泛應用的遠程控制工具，允許攻擊者完全控制被植入機器。 

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_木馬后門_Kronus_連接

事件級別：

中級事件

安全類型：

木馬后門

事件描述：

檢測到后門試圖連接遠程服務器。源IP所在的主機可能被植入了Kronus。 Kronus是一個基于CSharp的遠控，功能非常強大。運行后，可完全控制被植入機器。 

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_update.tmp(APT-C-12)_連接服務器

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到后門試圖連接遠程服務器。 update.tmp文件為一個DLL,并有一個名為jj的導出函數。其首先會對目標主機進行信息收集，信息收集后會首先向遠程控制服務器發送上線信息。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_Wordpress_Sixtees_Shell上傳漏洞

事件級別：

中級事件

安全類型：

木馬后門

事件描述：

檢測到源IP主機正在利用Wordpress Sixtees Shell上傳漏洞攻擊目的IP主機的行為。Wordpress Sixtees主題中存在Shell上傳漏洞。攻擊者利用該漏洞上傳任意文件到受影響計算機，導致在受影響應用程序上下文中執行任意代碼。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_Wordpress_Dandelion主題_Shell上傳漏洞

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP主機正在利用Wordpress Dandelion主題Shell上傳漏洞攻擊目的IP主機的行為。Wordpress Dandelion主題中存在Shell上傳漏洞。攻擊者利用該漏洞上傳任意文件到受影響計算機，導致在受影響應用程序上下文中執行任意代碼。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_1_2

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_2_2

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬_FileUploader.winfont(白象)_連接_2

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了winfont。 winfont.exe為文檔收集模塊，主要功能為遍歷計算機目錄獲取特定文檔并發送給遠程服務器，該樣本會創建一個240000ms間隔的定時器，并每間隔240000ms遍歷特定后綴文件，最后構造POST包，將獲取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv類型文件內容直接通過HTTP表單提交的方式發送至遠程服務器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬_Zeus連接9

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了Zeus木馬。 

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_Win32.Avzhan.DDoS.Bot_連接_2

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了木馬Avzhan。 Avzhan是一個后門，主要功能是對指定目的主機發起DDoS攻擊。還可以下載其他病毒到被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_AppScan9_Content_Web漏洞掃描_2

事件級別：

低級事件 

安全類型：

安全掃描 

事件描述：

檢測到源IP主機正在利用AppScan 9漏洞掃描工具對目的主機進行Web應用漏洞掃描的行為，嘗試掃描發現Web應用系統漏洞，為進一步入侵目的IP主機做準備。 AppScan 9是一款商用的針對Web應用的安全漏洞掃描軟件。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_Acunetix11_AWVS11_Content_Web漏洞掃描1_2

事件級別：

低級事件 

安全類型：

安全掃描

事件描述：

檢測到源IP主機正在利用Acunetix11(AWVS11)漏洞掃描工具對目的主機進行Web應用漏洞掃描的行為，嘗試掃描發現Web應用系統漏洞，為進一步入侵目的IP主機做準備。 Acunetix11(AWVS11)是一款商用的針對Web應用的安全漏洞掃描軟件。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_SQL錯誤信息泄露_4_2

事件級別：

低級事件 

安全類型：

安全審計 

事件描述：

檢測到源IP主機正試圖利用目的IP主機的SQL錯誤信息，可能造成信息泄露。 SQL（Structured Query Language)結構化查詢語言，是一種數據庫查詢和程序設計語言，用于存取數據以及查詢、更新和管理關系數據庫系統。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_1 => HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_1_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_2 => HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_2_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_Win32.Avzhan.DDoS.Bot_連接 => TCP_后門_Win32.Avzhan.DDoS.Bot_連接_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了木馬Avzhan。 Avzhan是一個后門，主要功能是對指定目的主機發起DDoS攻擊。還可以下載其他病毒到被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬_FileUploader.winfont(白象)_連接 => HTTP_木馬_FileUploader.winfont(白象)_連接_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了winfont。 winfont.exe為文檔收集模塊，主要功能為遍歷計算機目錄獲取特定文檔并發送給遠程服務器，該樣本會創建一個240000ms間隔的定時器，并每間隔240000ms遍歷特定后綴文件，最后構造POST包，將獲取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv類型文件內容直接通過HTTP表單提交的方式發送至遠程服務器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_1_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_DDoS.Win32.Nitol_連接

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了木馬。 DDoS.Win32.Nitol是近來最活躍的惡意DDoS攻擊家族之一。 DDoS.Win32.Nitol連接遠程服務器，接收黑客指令，向目標域或網站發起DDoS攻擊。還可以下載其他病毒到被感染機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬后門_webshell_可疑webshell_上傳后門程序_2_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP地址主機正在向目的IP地址主機傳送可疑的webshell文件。 webshell是web入侵的腳本攻擊工具。簡單說，webshell就是一個用asp或php等編寫的木馬后門，攻擊者在入侵了一個網站后，常常將這些asp或php等木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。然后攻擊者就可以用web的方式，通過該木馬后門控制網站服務器，包括上傳下載文件、查看數據庫、執行任意程序命令等。webshell可以穿越防火墻，由于與被控制的服務器或遠程主機交換的數據都是通過80端口傳遞的，因此不會被防火墻攔截。并且使用webshell一般不會在系統日志中留下記錄，只會在網站的web日志中留下一些數據提交記錄，管理員較難看出入侵痕跡。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_SQL錯誤信息泄露_4

事件級別：

低級事件

安全類型：

安全審計 

事件描述：

檢測到源IP主機正試圖利用目的IP主機的SQL錯誤信息，可能造成信息泄露。 SQL（Structured Query Language)結構化查詢語言，是一種數據庫查詢和程序設計語言，用于存取數據以及查詢、更新和管理關系數據庫系統。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_Win32.Avzhan.DDoS.Bot_連接_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了木馬Avzhan。 Avzhan是一個后門，主要功能是對指定目的主機發起DDoS攻擊。還可以下載其他病毒到被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_DDoS.Win32.Nitol變種_連接

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了Nitol。 DDoS.Win32.Nitol是非?；钴S的惡意DDoS攻擊家族之一，而且變種極其多。 DDoS.Win32.Nitol連接遠程服務器，接收黑客指令，向目標域或網站發起DDoS攻擊。還可以下載其他病毒到被感染機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬_Zeus連接3

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了Zeus木馬。 

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_木馬_FileUploader.winfont(白象)_連接_1

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到木馬試圖連接遠程服務器。源IP所在的主機可能被植入了winfont。 winfont.exe為文檔收集模塊，主要功能為遍歷計算機目錄獲取特定文檔并發送給遠程服務器，該樣本會創建一個240000ms間隔的定時器，并每間隔240000ms遍歷特定后綴文件，最后構造POST包，將獲取的.doc, .docx, .xls, .xlsx, .pdf, .ppt, .pptx, .csv類型文件內容直接通過HTTP表單提交的方式發送至遠程服務器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_Acunetix11_AWVS11_Content_Web漏洞掃描1

事件級別：

低級事件 

安全類型：

安全掃描 

事件描述：

檢測到源IP主機正在利用Acunetix11(AWVS11)漏洞掃描工具對目的主機進行Web應用漏洞掃描的行為，嘗試掃描發現Web應用系統漏洞，為進一步入侵目的IP主機做準備。 Acunetix11(AWVS11)是一款商用的針對Web應用的安全漏洞掃描軟件。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_AppScan9_Content_Web漏洞掃描

事件級別：

低級事件

安全類型：

安全掃描

事件描述：

檢測到源IP主機正在利用AppScan 9漏洞掃描工具對目的主機進行Web應用漏洞掃描的行為，嘗試掃描發現Web應用系統漏洞，為進一步入侵目的IP主機做準備。 AppScan 9是一款商用的針對Web應用的安全漏洞掃描軟件。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_PoisonIvy_Keepalive_連接2

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到PoisonIvy的心跳包數據。源IP所在的主機可能被植入了Poison Ivy。 Poison Ivy是一個被廣泛應用的遠程控制工具，允許攻擊者完全控制被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

TCP_后門_PoisonIvy_Keepalive_連接3

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到PoisonIvy的心跳包數據。源IP所在的主機可能被植入了Poison Ivy。 Poison Ivy是一個被廣泛應用的遠程控制工具，允許攻擊者完全控制被植入機器。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_Wordpress_file-away插件_文件泄露漏洞

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到源IP主機正在利用WordPress file-away插件文件泄露漏洞攻擊目的IP主機的行為。 WordPress file-away插件存在文件泄露漏洞，遠程攻擊者可借助‘../’字符利用該漏洞讀取任意文件。

更新時間：

20180803

默認動作：

丟棄

事件名稱：

HTTP_勒索軟件_GandCrab_v4

事件級別：

中級事件

安全類型：

木馬后門 

事件描述：

檢測到勒索軟件試圖連接遠程服務器。源IP所在的主機可能被植入了GandCrab。 GandCrab是著名勒索軟件。運行后，受害者主機文件會被加密，并要求繳納贖金。 外聯鏈接用于進行配置文件下載，用于進行勒索軟件的落地。

更新時間：

20180803

默認動作：

丟棄