天融信阿尔法实验室 李喆 李闪 姜利晓
Samba是一套可使UNIX系列的操作系统与微软Windows操作系统的SMB/CIFS网络协议做连结的自由软件。这个漏洞使得Samba客户端可以主动上传共享库到Samba服务器同时加载并执行该动态库导出函数。
攻击者利用漏洞可以进行远程代码执行，具体执行条件如下：
1）系统开启了文件/打印机共享端口445
2）共享文件夹拥有写入权限
3）恶意攻击者需猜解Samba服务端共享目录的物理路径
满足以上条件时，由于Samba能够为选定的目录创建网络共享，当恶意的客户端连接上一个可写的共享目录[......]
近日自勒索蠕虫WannaCry之后又有一种新的蠕虫EternalRocks（永恒之石）通过SMB进行了攻击传播，同样是利用了NSA工具，EternalRocks利用了ETERNALBLUE、ETERNALCHAMPION、ETERNALROMANCE、以及ETERNALSYNERGY四个NSA的SMB漏洞利用工具，同时具备了漏洞扫描工具SMBTOUCH和ARCHITOUCH ，还有一个后门感染工具DOUBLEPULSAR。
天融信阿尔法实验室经过样本分析判断，虽然蠕虫永恒之石不具备主动恶意破坏功能，但是在会在感染设备上留[......]
阿尔法实验室 李喆
阿尔法实验室对Wannacry 新出现的变种样本做了进一步分析，本报告主要对比新出现的样本和之前分析过的样本做了功能对比分析。分析新出现的样本是否具备其他恶意功能，是否需要在防护上做进一步处理。上一篇的样本分析可以看这里：
http://blog.topsec.com.cn/?p=2230
样本介绍：
在我们之前的分析中，我们分析的是
这次新出现的样本为:
首先我们先拿我们之前分析的样本和变种1 做了一个对比
发现只是修改了一下域名开关：
我们可以看到2E[......]
阿尔法实验室 李喆 李燕春
一、 WannaCryptor 是如何传播？
WanaCrypotor在几周之前就被发现了，但是这款恶意勒索软件传播速度没那么严重，是什么造成了传播如此之快? ETERNALBLUE ，永恒之蓝，这个是影子经纪人泄露的NSA攻击工具，攻击window的smbv1协议，端口为445，在公网上这个端口基本屏蔽了，但是有些教育网还有内网是开放的。给 WannaCrypotor 带来了便利，因为其功能的影响性影响了很多设备。
二 Wanna Decryptor 是如何加密一个电脑？
2.1 开始工作
当一款电脑被Wann[......]
阿尔法实验室：雨夜
EaseBee是NSA开发的针对邮件系统MDaemon代码执行漏洞的一个工具，它支持多个版本MDaemon是一款著名的标准SMTP/POP/IMAP邮件服务系统，由美国Alt-N公司开发。它提供完整的邮件服务器功能，保护用户不受垃圾邮件的干扰，实现网页登陆收发邮件，支持远程管理，并且当与MDaemon AntiVirus插件结合使用时，它还保护系统防御邮件病毒。它安全，可靠，功能强大，是世界上成千上万的公司广泛使用的邮件服务器。
在靶机上安装 MDaemon 9.6.6
如果遇到下图错误
请参考http:/[......]
作者：Lenny Zeltser
翻译：topesc alpha lab
原文地址：https://zeltser.com/fileless-malware-beyond-buzzword/
如何处理“fileless malware”(无文件型恶意程序)？ 许多安全专业人士在听到这个词的时候很沮丧，很多文章和产品手册都提到了很难抵御和检测的无文件型恶意程序。 下面我来试图通过这类恶意程序样本来梳理无文件型恶意程序的演变。
无文件型恶意程序的概念在行业活动，私人会议和在线讨论方面一直备受关注。 这可能是因为这一威胁凸显了旧的终端安全方法的一些缺陷，[......]
阿尔法实验室
一、漏洞情况分析
于2017年4月14日Shadow Brokers泄露出一份机密文档密码为Reeeeeeeeeeeeeee其压缩中包含了多个危害极大的 Windows 远程漏洞利用工具，可以覆盖全球绝大多数的 Windows 系统，只要 Windows 服务器开了135、445、3389 其中的端口之一，有很大概率可以直接被攻击，目前Windows服务器几乎全线暴露在危险之中，任何人都可以直接下载并远程攻击利用。
二、漏洞影响范围
Windows NT
Windows 2000
Windows XP
Windo[......]
天融信阿尔法实验室 李喆
有人说php是世界上最好的语言，这可能是对开发人员来说，确实有这方面的特点，因为它开发起来不像其他语言那样麻烦，就比如：弱类型，它不需要像java等语言那样明确定义数据类型。这给开发带来了很大的便利，所有的数据类型都可以用$xx来定义，而不需要int i,string a,fload b等等这样去定义它。这样确实很方便，因为php帮助你判断了数据类型，比如整形int ,你只要$a=1;那这个1就是整形，$a=’abc’那这个abc就会被php判断为字符串类型。但是弱类型方便是方便，但是带来的安全问题也是巨大的，很多的php安全漏洞都是因为它带来的。
本文是[......]
目前进程隐藏技术网上流程的主要是在驱动层进行挂钩，但是由于win7之后，windows操作系统权限管理之类越来越严格，win7之后加载驱动首先需要管理员权限，另外windows加载驱动同时还需要有微软签发的驱动证书，这对于土八路来说基本是一个无解的难题，基本难以弄到正规公司的签证，同时，逆向windows的签证管理系统工作量太大，目前网上也没有签证伪造技术流传。
相对驱动层来说，直接hook的ssdt表或者直接修改内核函数都较为方便，在应用层的话，其原理也是改写功能实现函数，从思路角度说，可以改写taskmgr.exe的txt段，导入表，对dll的[......]
天融信阿尔法实验室 雨夜
最近发生了多起DDOS攻击事件，调查发现攻击源头是大量的物联网设备，大多设备被一款名为“ELF Linux/Mirai”的新型ELF木马后门攻占，全球由其控制的BOT多达500万以上。Mirai能够感染多种存在漏洞的物联网设备，其中包括安保摄像头、DVR以及互联网路由器等。通过恶意感染，这些物联网设备将成为僵尸网络中的肉鸡，并被用于实施大规模DDoS攻击。