九游老哥云
【清静通告】FireEye 遭网络攻击，红队工具被盗
2020-12-09
事务概述
外地时间12月8日，据FireEye博客宣布，某高级组织偷取了FireEye红队工具。由于暂不可确定攻击者将自己使用被盗工具照旧果真披露，以是FireEye率先在博客中宣布对策，以使各组织够提前接纳应对步伐。
被盗工具简介
被盗红队工具的种类包括用于自动侦探的简朴剧本到与CobaltStrike、Metasploit等手艺类似的整体框架。其中许多工具已向社区或在其开源虚拟机CommandoVM中宣布。这些工具中一些是经由修改以逃避基本清静检测机制的果真工具，另一些工具和框架则是由红队内部开发。
此次被盗的红队工具中并不包括 0day 误差的使用，也不包括未果真手艺。
现在还暂未检测到工具被散播和使用。
识别检测要领
为了资助组织能够识别到这些工具，FireEye 已宣布OpenIOC，Yara，Snort和ClamAV检测规则。详细规则详见：https://github.com/fireeye/red_team_tool_countermeasures
备注：规则列表还会一连更新。
需特殊关注的CVE
别的，修复以下误差能有用限制红队工具施展作用：
|
CVE-2014-1812 |
Windows 外地提权 |
|
CVE-2016-0167 |
Microsoft Windows 老版本外地提权 |
|
CVE-2017-11774 |
Microsoft Outlook中通过诱导用户手动执行文档（垂纶）实现RCE |
|
CVE-2018-13379 |
Fortinet Fortigate SSL VPN预授权恣意文件读取 |
|
CVE-2018-15961 |
Adobe ColdFusion RCE（可用于上传JSP Web shell） |
|
CVE-2018-8581 |
Microsoft Exchange Server 特权提升 |
|
CVE-2019-0604 |
Microsoft Sharepoint RCE |
|
CVE-2019-0708 |
Windows 远程桌面服务（RDS）RCE |
|
CVE-2019-11510 |
Pulse Secure SSL VPNs 预授权恣意文件读取 |
|
CVE-2019-11580 |
Atlassian Crowd RCE |
|
CVE-2019-19781 |
Citrix应用交付控制器和Citrix网关的RCE |
|
CVE-2019-3398 |
Confluence需经认证的 RCE |
|
CVE-2019-8394 |
ZoHo ManageEngine ServiceDesk Plus 预授权恣意文件上传 |
|
CVE-2020-0688 |
Microsoft Exchange RCE |
|
CVE-2020-10189 |
ZoHo ManageEngine Desktop Central RCE |
|
CVE-2020-1472 |
Microsoft Active Directory 特权提升 |
参考链接
https://www.fireeye.com/blog/threat-research/2020/12/unauthorized-access-of-fireeye-red-team-tools.html
https://www.fireeye.com/blog/products-and-services/2020/12/fireeye-shares-details-of-recent-cyber-attack-actions-to-protect-community.html
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于九游老哥科技
九游老哥（简称九游老哥科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
九游老哥于2014年1月29日起在深圳证券生意所创业板上市，股票简称：九游老哥科技，股票代码：300369。
