天融信阿尔法实验室 李喆 李闪 姜利晓
Samba是一套可使UNIX系列的操作系统与微软Windows操作系统的SMB/CIFS网络协议做连结的自由软件。这个漏洞使得Samba客户端可以主动上传共享库到Samba服务器同时加载并执行该动态库导出函数。
攻击者利用漏洞可以进行远程代码执行，具体执行条件如下：
1）系统开启了文件/打印机共享端口445
2）共享文件夹拥有写入权限
3）恶意攻击者需猜解Samba服务端共享目录的物理路径
满足以上条件时，由于Samba能够为选定的目录创建网络共享，当恶意的客户端连接上一个可写的共享目录[......]
近日自勒索蠕虫WannaCry之后又有一种新的蠕虫EternalRocks（永恒之石）通过SMB进行了攻击传播，同样是利用了NSA工具，EternalRocks利用了ETERNALBLUE、ETERNALCHAMPION、ETERNALROMANCE、以及ETERNALSYNERGY四个NSA的SMB漏洞利用工具，同时具备了漏洞扫描工具SMBTOUCH和ARCHITOUCH ，还有一个后门感染工具DOUBLEPULSAR。
天融信阿尔法实验室经过样本分析判断，虽然蠕虫永恒之石不具备主动恶意破坏功能，但是在会在感染设备上留[......]
阿尔法实验室 李喆
阿尔法实验室对Wannacry 新出现的变种样本做了进一步分析，本报告主要对比新出现的样本和之前分析过的样本做了功能对比分析。分析新出现的样本是否具备其他恶意功能，是否需要在防护上做进一步处理。上一篇的样本分析可以看这里：
http://blog.topsec.com.cn/?p=2230
样本介绍：
在我们之前的分析中，我们分析的是
这次新出现的样本为:
首先我们先拿我们之前分析的样本和变种1 做了一个对比
发现只是修改了一下域名开关：
我们可以看到2E[......]
阿尔法实验室 李喆 李燕春
一、 WannaCryptor 是如何传播？
WanaCrypotor在几周之前就被发现了，但是这款恶意勒索软件传播速度没那么严重，是什么造成了传播如此之快? ETERNALBLUE ，永恒之蓝，这个是影子经纪人泄露的NSA攻击工具，攻击window的smbv1协议，端口为445，在公网上这个端口基本屏蔽了，但是有些教育网还有内网是开放的。给 WannaCrypotor 带来了便利，因为其功能的影响性影响了很多设备。
二 Wanna Decryptor 是如何加密一个电脑？
2.1 开始工作
当一款电脑被Wann[......]
阿尔法实验室：雨夜
EaseBee是NSA开发的针对邮件系统MDaemon代码执行漏洞的一个工具，它支持多个版本MDaemon是一款著名的标准SMTP/POP/IMAP邮件服务系统，由美国Alt-N公司开发。它提供完整的邮件服务器功能，保护用户不受垃圾邮件的干扰，实现网页登陆收发邮件，支持远程管理，并且当与MDaemon AntiVirus插件结合使用时，它还保护系统防御邮件病毒。它安全，可靠，功能强大，是世界上成千上万的公司广泛使用的邮件服务器。
在靶机上安装 MDaemon 9.6.6
如果遇到下图错误
请参考http:/[......]
作者：Lenny Zeltser
翻译：topesc alpha lab
原文地址：https://zeltser.com/fileless-malware-beyond-buzzword/
如何处理“fileless malware”(无文件型恶意程序)？ 许多安全专业人士在听到这个词的时候很沮丧，很多文章和产品手册都提到了很难抵御和检测的无文件型恶意程序。 下面我来试图通过这类恶意程序样本来梳理无文件型恶意程序的演变。
无文件型恶意程序的概念在行业活动，私人会议和在线讨论方面一直备受关注。 这可能是因为这一威胁凸显了旧的终端安全方法的一些缺陷，[......]