安天网络行为检测能力升级通告

安天长期基于流量侧数据跟踪分析网络攻击活动，识别和捕获恶意网络行为，研发相应的检测机制与方法，积累沉淀形成了安天自主创新的网络行为检测引擎。安天定期发布最近的网络行为检测能力升级通告，帮助客户洞察流量侧的网络安全威胁与近期恶意行为趋势，协助客户及时调整安全应对策略，赋能客户提升网络安全整体水平。

1. 安天网络行为检测能力概述

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期新增检测规则79条，升级改进检测规则239条，网络攻击行为特征涉及变种木马、代码执行等高风险，涉及SQL注入、文件写入等中风险。

2. 更新列表

本期安天网络行为检测引擎规则库部分更新列表如下：

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2025011707，建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.4 及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。

3. 网络流量威胁趋势

近日，研究人员警告称，网络钓鱼活动伪装成该公司发送的工作邀请邮件，诱骗受害者下载安装Monero加密货币挖矿程序（XMRig）。攻击者利用仿冒的CrowdStrike招聘门户，分发伪装成“员工CRM应用”的恶意软件下载链接，针对Windows和Mac OS用户。程序会通过沙箱检测确保不在分析环境运行后，后台下载并运行XMRig挖矿程序，同时采用低处理器占用策略以降低被发现的风险。

此外，研究人员发现一个针对CVE-2024-49113漏洞的假POC（概念验证）漏洞利用工具，该漏洞是微软Windows LDAP服务中的一个拒绝服务漏洞。攻击者通过伪装成合法的POC，诱使安全研究人员下载并执行恶意软件。该恶意软件窃取计算机和网络信息，并将数据传输至攻击者的服务器。该攻击被命名为“LDAPNightmare”，采用伪装成合法代码库的方式，欺骗受害者。受害者下载的看似无害的文件，实际上包含恶意的PowerShell脚本，最终执行并上传被盗数据。

本期活跃的安全漏洞信息

1IBM Db2 for Linux、UNIX和Windows拒绝服务漏洞（CVE-2024-45663）

2Adobe InDesign Desktop越界读取漏洞（CVE-2024-49529）

3Microsoft Office远程代码执行漏洞（CVE-2025-21365）

4Microsoft Outlook远程代码执行漏洞（CVE-2025-21361）

5Adobe Bridge越界写入漏洞（CVE-2024-39386）

值得关注的安全事件

1Fortinet警告零日漏洞攻击可暴露防火墙接口

Fortinet近日披露，未知威胁行为者利用零日漏洞针对暴露管理接口的FortiGate防火墙设备发起攻击。自2024年11月中旬起，攻击者通过未经授权的管理员登录更改配置、创建新账户，并利用DCSync技术提取凭据。受影响设备的固件版本为7.0.14至7.0.16。攻击分为四阶段，涵盖漏洞扫描、配置修改、创建超级管理员账户及SSL VPN隧道，最终通过VPN访问横向移动。攻击者活动与jsconsole接口的异常使用密切相关，涉及多个VPS托管IP地址。

22024年针对VMware ESXi服务器的勒索软件攻击激增

2024年，针对VMware ESXi服务器的勒索攻击显著增加，平均赎金高达500万美元。多数攻击使用改良的Babuk勒索软件变种，这些变种专为规避安全工具检测而设计。攻击者通过加密ESXi关键文件（如VMDK、VMEM、VSWP、VMSN文件）使虚拟机不可用，同时通过对称加密与非对称加密结合的方法加速数据加密并确保密钥安全。勒索软件团伙还通过出售初始访问权限获利，使得攻击链更加复杂。由于ESXi架构中的vCenter服务器集中管理多个ESXi主机，其"vpxuser"账户成为攻击目标，攻击者一旦获取密钥解密权限，便可对虚拟环境实施全面控制。

安天探海网络检测实验室简介

安天探海网络检测实验室是安天科技集团旗下的网络安全研究团队，致力于发现网络流量中隐藏的各种网络安全威胁，从多维度分析网络安全威胁的原始流量数据形态，研究各种新型攻击的流量基因，提供包含漏洞利用、异常行为、应用识别、恶意代码活动等检测能力，为网络安全产品赋能，研判网络安全形势并给出专业解读。