九游老哥云
境外黑客使用深信服SSL VPN举行攻击 ，九游老哥威胁情报中心已支持相关检测
2020-04-08
4月6日 ，深信服官方揭晓《关于境外不法组织使用深信服SSL VPN装备下发恶意文件并提倡APT攻击运动的说明》（详见参考文献） ，称境外黑客组织使用其SSL VPN装备提倡恶意攻击 ，九游老哥科技威胁情报中心对该事务亲近关注 ，对该事务做了整体的梳理和剖析 ，提请宽大用户关注自己的SSL VPN装备 ，注重自查（受该事务影响的深信服SSL VPN装备版本号为M6.3R1、M6.1版本） ，并实时更新相关补丁 。
九游老哥科技威胁情报中心已支持对该事务的检测（网址：https://nti.nsfocus.com） 。
事务概况
境外黑客组织通过不法手段控制部分深信服SSL VPN装备 ，并使用客户端升级误差（本次误差为SSL VPN装备Windows客户端升级�？槭鹈橹せ频娜毕荩┫路⒍褚馕募娇突Ф� ，从而举行APT攻击运动 ，九游老哥威胁情报中心已支持对该事务的IOC检测 ，详情如下：
涉及到该事务的C&C服务器的威胁知识图谱如下：
涉及到该事务的几个典范恶意文件详情如下：
处置惩罚建议
1、 遵照深信服官方给出的处置惩罚建议（详见参考文献） ，建议用户限制外网或非信托IP会见VPN服务器的4430控制台治理端口 ，阻断黑客针对VPN服务器治理后台举行的攻击；并尽快从官方渠道装置相关补丁
2、 使用九游老哥威胁情报中心宣布的IOC举行检测 ，接纳专杀工具对木马文件彻底查杀 。
相关威胁情报
完整IOC（一连更新中）：
1、C&C：103.216.221.19
2、文件名：SangforUD.EXE ，MD5：a32e1202257a2945bf0f878c58490af8,
3、文件名：SangforUD.EXE ，MD5：967fcf185634def5177f74b0f703bdc0
4、文件名：SangforUD.EXE ，MD5：c5d5cb99291fa4b2a68b5ea3ff9d9f9a
5、文件名：e58b8de07372b9913ca2fbd3b103bb8f.virus ，
MD5：e58b8de07372b9913ca2fbd3b103bb8f
6、文件名：m.exe ，MD5：429be60f0e444f4d9ba1255e88093721
7、文件名：93e9383ae8ad2371d457fc4c1035157d887a84bbfe66fbbb3769c5637de59c75 ，
MD5：18427cdcb5729a194954f0a6b5c0835a
8、文件名：SANARISOR.EXE ，MD5：a93ece16bf430431f9cae0125701f527
参考文献
https://mp.weixin.qq.com/s/lKp_3kPNEycXqfCnVPxoDw
