• 本文作者： 漏洞应急响应中心
  • |
  • 2015年10月23日
  • |
  • 安全动态
  • |

2015年第43周安全通报

1 总体情况

1.1 本周漏洞情况

  • 本周共统计CVE漏洞218个，其中高危漏洞35个，中危漏洞177个，低危漏洞6个。漏洞数与前一周环比增加了26%，与去年同比减少了69.6%；
  • 本周记录了Oracle公司最新发布的多个漏洞，涉及到Java SE、Sun Solaris、MySQL、DB、Fusion Middleware、Supply Chain Products 等多个产品，漏洞类型均未指定，可能影响系统的完整性、机密性和可用性，本周该公司产品的漏洞数量排名第一；还记录了苹果公司最新发布的多个漏洞，涉及到iWork for iOS、Keynote、Pages、Numbers等办公产品，漏洞类型主要是执行任意代码或导致拒绝服务；也记录了Google 公司发布的多个漏洞，涉及到Chrome、V8、PDFium、Blink、libANGLE等多个产品，漏洞类型主要是拒绝服务、释放后重用、同源策略绕过、信息泄露等；
  • 本周记录的安全公司的产品漏洞是美国SolarWinds公司的一款日志与事件管理器SolarWinds Log Event Manager存在的多个漏洞；美国易安信（EMC）公司的一套电子邮件监控软件SourceOne Email Supervisor存在的多个漏洞；

1.2 本周恶意域名与IP地址跟踪情况

  • 本周恶意IP地址数量在上周出现向上微调的形态后，出现向上突破的形态，一举创出了本年度的新高，不过还是怀疑这种突破的走势是否可以保持；
  • 本周单个IP地址对应的恶意域名数量前10位列表显示，大陆出现了三个地址而海外出现一个地址的更替。大陆地址的变化标志着我们跟踪的今年二月爆发的恶意域名组对应的IP地址继续进行着爆发式的迁移；海外地址的变化标志着2014年9月爆发的多个恶意域名组对应地址向海外特别是美国迁移的过程出现暂时中止；
  • 在大陆的恶意IP地址数量地理分布排名列表中，北京、江苏、广东、浙江、河南位居前五，山东、上海、湖南、河北、山西位居六至十位，跟前一周相比，排名没有变化；
  • 在海外的恶意IP地址数量地理分布排名列表中，美国、荷兰、香港、韩国、德国位居前五，跟前一周相比没有变化；

1.3 下周安全预警等级

中度

2 安全漏洞

2.1 漏洞统计

 

2015-43-V

最近四周漏洞数量示意图

2015-43-VS

本周统计CVE漏洞前五位示意图

2.2 漏洞预警

2.2.1 Oracle MySQL Server 未指定的漏洞

2015-43-1

2.2.2 Oracle Sun Solaris 未指定的漏洞

2015-43-2

2.2.3 Oracle Java SE 未指定的漏洞

2015-43-3

2.2.4 Google Chrome 未指定的多个漏洞

2015-43-4

22.2.5 SolarWinds Log Event Manager任意代码执行漏洞

2015-43-5

 

3 恶意域名与IP地址跟踪

3.1 总体情况

本期从国家权威部门获取的恶意域名数是20个，同时重新整理前期输入的恶意域名，将长期不再有效的恶意域名剔除，得出目前最新的恶意域名数是13729个，将这些域名进行例行的IP地址解析，本周的验证结果如下：

  • 本周单个IP地址对应的恶意域名数量前10位列表显示，大陆出现了三个地址而海外出现一个地址的更替。大陆地址的变化标志着我们跟踪的今年二月爆发的恶意域名组对应的IP地址继续进行着爆发式的迁移；海外地址的变化标志着2014年9月爆发的多个恶意域名组对应地址向海外特别是美国迁移的过程出现暂时中止；
  • 在大陆的恶意IP地址数量地理分布排名列表中，北京、江苏、广东、浙江、河南位居前五，山东、上海、湖南、河北、山西位居六至十位，跟前一周相比，排名没有变化；
  • 在海外的恶意IP地址数量地理分布排名列表中，美国、荷兰、香港、韩国、德国位居前五，跟前一周相比没有变化；
  • 本期全部有效IP地址数量是3109个，其中海外有效IP地址数量是2016个，大陆有效IP地址数量是1083个，全部有效IP地址较上周相比增加了96个，增幅为3.19%，跟前一周相比，海外IP地址数量和大陆的IP地址数量均出现小幅上升。其中全部有效地址数量和海外有效地址数量均创出了本年度的新高；
  • 本统计期恶意IP地址数量在上周出现向上微调的形态后，本周出现向上突破的形态，创出了本年度的新高，不过还是怀疑这种突破的走势是否可以保持。以下是本统计期的数量趋势图：

2015-35

3.2 单个IP地址对应的恶意域名数量前10位分析

3.2.1 涉及到大陆的单个IP地址对应的恶意域名数量前10 位分析

我们看到在本周的前十位列表中出现了三个地址的更替，这也是一个比较剧烈的变化，标志着我们跟踪的恶意域名组对应的IP地址继续进行着爆发式的迁移.以下是详细介绍：

    消失地址：

  • 持续保持在前10位列表长达24周的浙江省电信的的IP地址183.136.235.15本周消失；
  • 上周才新增的北京联通的IP地址123.125.93.10本周消失；
  • 上周才新增的北京联通的IP地址123.125.93.3本周消失；

    • 新增地址：

  • 在前10位列表中新增了一个天津联通的IP地址60.28.14.125，涉及到的恶意域名数量达到1098个，本周排名位居第二；这个地址才刚刚消失了两周就重新出现，需要重点关注；
  • 在前10位列表中新增了一个北京联通的IP地址123.125.93.9，涉及到的恶意域名数量达到202个，本周排名位居第八；
  • 在前10位列表中新增了一个北京联通的IP地址123.125.93.4，涉及到的恶意域名数量达到195个，本周排名位居第十；
  • 以上三个新增地址对应的恶意域名正是类似于今年二月爆发的以“[XXXX] .bjsyedu.cn”,”[XXXX].0519mr.net”等形式存在的多个恶意域名组；

    • 保持地址：

    1) 2014年9月爆发的以“[yyyymmddhhmmsssss]. kangdelvhua.com|annengdl.com|pengjinshun.com|maxbolift.com|qqldp.com|.iyomall.com|.sltbzy.com|.mtvmin.com”等形式存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有湖北襄阳的IP地址111.177.111.83，涉及到的恶意域名数量达到1484个，本周排名位居第一；

    • 2) 今年二月爆发的以“[XXXX] .bjsyedu.cn”,”[XXXX].0519mr.net”形式存在的恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有北京市联通的111.202.75.66，涉及到的恶意域名数量增加到481个，本周排名位居第三；
  • 在前十位列表中本周继续保持的有北京市联通的123.125.93.20，涉及到的恶意域名数量增加到204个，本周排名位居第五；
  • 在前十位列表中本周继续保持的有北京市联通的123.125.93.7，涉及到的恶意域名数量增加到202个，本周排名位居第七；

    • 3) 长期以形式“[XXX]. isgre.at”形式存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有广东省深圳市 电信(龙岗/南山区)的IP地址219.134.132.88，它涉及的恶意域名数量维持在386个，本周排名位居第四，对应关系长期保持稳定，目前还没有发现有IP地址迁移的情况；

    • 4) 长期以形式“[xxx].conna.dtdns.net”存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的还有河南省南阳市电信的IP地址219.150.241.46 ，它涉及的恶意域名数量维持在203个，本周排名位居第六，对应关系长期保持稳定，目前还没有发现有IP地址迁移的情况；

    • 5) 长期以“[xxxx].go.8800.org”形式存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的还有广西的IP地址118.184.176.13，它涉及的恶意域名数量维持在196个，本周排名位居第九，对应关系长期保持稳定，目前还没有发现有IP地址迁移的情况；

3.2.2 涉及到海外的单个IP地址对应的恶意域名数量前10位分析

我们看到在本周的前十位列表中，出现一个地址的更替，这标志着我们跟踪的恶意域名组对应的IP地址迁移现象出现了暂时的终止。以下是详细介绍：

    消失地址：

  • 在前十位列表中上周位居第十的美国的IP地址50.63.202.54本周已经消失；

    • 新增地址：

  • 在前十位列表中本周新增的有美国的IP地址209.99.40.222，涉及的恶意域名大部分以形式“www.95588lcbcn.com”、“www.icbcxxx.com” 等金融诈骗网站的形式存在。本周排名位居第十；

    • 保持地址：

    1) 以形式“20140816192246204.qqldp.com”存在,属于2014年9月爆发的以“[yyyymmddhhmmsssss]. kangdelvhua.com|annengdl.com|pengjinshun.com|maxbolift.com|qqldp.com|.iyomall.com|.sltbzy.com|.mtvmin.com” 等形式存在的多个恶意域名组对应的恶意IP地址跟踪

  • 在前十位列表中本周继续保持的有美国的IP地址50.63.202.42，涉及的恶意域名数量保持在290个，本周排名位居第一；
  • 目前这类恶意域名组对应的IP地址的迁移现象出现了暂时终止，需要继续关注后续的变化；

    • 2) 长期以”[任意字符].usa/flu/igg.cc”形式存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有德国IP地址88.198.132.3，涉及的恶意域名数量保持在269个，本周排名位居第二；

    • 3) 长期以形式“[xxxx].dyjclj.com、www.icbc[XXX].com”存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有香港的IP地址103.232.215.133，它涉及的域名数量增加到174个，本周排名位居第三；

    • 4) 长期以”cdn.[xxxx].[xxxx].us、cdn.[xxx].com”形式存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有美国新泽西州Merck公司的IP地址54.235.159.97，它涉及的恶意域名数量维持在125个，本周排名位居第四；
  • 在前十位列表中本周继续保持的有美国新泽西州Merck公司的IP地址54.72.130.67，它涉及的恶意域名数量维持在118个，本周排名位居第五；

    • 5) 长期以形式“[xxx].rr.nu，[xxx].bestdeals.at”存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有美国的IP地址67.208.74.71，它涉及的恶意域名数量保持在112个，本周排名位居第六；

    • 6) 新近爆发的以“taobao.vqotdy.com|xxx.xrjzb.com|zhifubaonews.xrjzb.com”等形式出现的恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中本周继续保持的有美国的IP地址208.91.197.132，涉及到的域名数量维持在95个，本周排名位居第七；

    • 7) 长期以形式“cebbank.com.mmt5.com，[cemn-toabao. comyaggggdofcai8.ce.ms，item.taobao”存在的多个金融诈骗恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中前一周新增的美国的IP地址54.72.9.51继续存在，涉及到的域名数量维持在82个，本周排名位居第八，其对应关系长期保持稳定，目前还没有发现有IP地址迁移的情况；

    • 8) 长期以形式“icbc.forshop.cu.cc，taobaocom-b7.cu.cc”存在的多个恶意域名组对应IP地址变化情况跟踪

  • 在前十位列表中前一周新增的有美国的IP地址216.38.62.18继续存在，涉及到的域名数量维持在68个，本周排名位居第九，其对应关系长期保持稳定，目前还没有发现有IP地址迁移的情况

 

3.3 大陆和海外的恶意IP地址地理分布情况

3.3.1 大陆恶意IP地址地理分布情况

在本周大陆的恶意IP地址地理分布排名前十位列表中，北京、江苏、广东、浙江、河南位居前五，山东、上海、湖南、河北、山西位居六至十位，跟前一周相比，排名没有变化.以下是分布示意图：

2015-43-m

 

3.3.2 海外恶意IP地址地理分布情况

在本周海外恶意IP地址地理分布排名列表中，美国、荷兰、香港、韩国、德国位居前五，跟前一周相比没有变化；在第六到第十的排名中，跟前一周相比，加拿大排名向前移动到第六，而其余国家排名均向后移动一位；以下是分布示意图：

2015-43-o

 

Written by 漏洞应急响应中心