2024-07-30 情报共享
域名
static-aliyun-xlsx.oss-cn-beijing.aliyuncs.com
www01234qwfqwg-1327129302.cos.ap-chengdu.myqcloud.com
URL
http://121.43.40.197/jquery-3.3.1.min.js
https://static-aliyun-xlsx.oss-cn-beijing.aliyuncs.com/GbyekXDcN
https://www01234qwfqwg-1327129302.cos.ap-chengdu.myqcloud.com/1.txt
https://58.222.36.212/compute/cd/K7BA6V385V
IP及端口
101.42.6.230:8085
123.57.6.3:81
62.234.14.38:1443
文件HASH
7a7251f48286563bba067056af4285bf
哈**集团有限公司整改**专项审计报告.exe
75d8097b47bfa9e021c71b4a34f80b91
举报材料-docx.exe
cdc7a25cd82b584b6244214faf9171c8
执行查看.msi
bf8ed3c4c9ba01c5cce00897f52d3947
action.py
e2dbef1ea654b8e8d77f61072c177f74
执行查看.exe
e0aaea76f7af11f1bb9c0613df9ade3a
**金融候选人职位登记表1.zip
9492cec7ce22942be9373661b6ba70d1
专项漏洞检测工具.exe
攻击者IP归属研判
对象1
攻击者IP：114.249.217.26
最近活跃时间：2024-07-27 ~ 2024-07-29
地理位置：中国-北京市-北京市
活跃行业：银行
使用工具：AWVS、Burp、Xray、Goby等。
能力评价：专项期间新启用基础设施，使用多款黑客工具，对银行行业相关目标存在极强针对性。
攻击利用特征：jqb6tw.ceye.io。
近期攻击行为：漏洞扫描。
对象2
攻击者IP：116.62.126.210
最近活跃时间：2024-07-22~2024-07-23
地理位置：中国-浙江省-杭州市
活跃行业：电力、能源、煤炭
能力评价：对目标资产后信息收集，然后使用扫描器进行扫描攻击。
攻击利用特征：扫描攻击为主，近两日的攻击量都非常大。
历史攻击行为：专项期间才开始活跃的攻击者，攻击目标都是能源电力、煤炭相关的网站。
对象3
攻击者IP：39.100.85.55、106.14.217.146、112.125.88.127等
最近活跃时间：2024-07-23至2024-07-29
地理位置：中国-北京市
活跃行业：航空、海事、金融等
能力评价：多个 IP 段 使用 *.y1bs.shop 隐蔽链路进行扫描，不同 IP 段攻击目标不一致。判断为某个组织有计划的攻击。
历史攻击行为：在 2024-03-22 15:02:14 注册 ns2.y1bs.shop，在 2024-05-30 140.246.157.86 使用过 39.100.85.55 进行攻击。
对象4
攻击者IP：101.200.238.213、101.200.74.236
最近活跃时间：2024-07-23 ~ 2024-07-29
地理位置：境内数据中心-中国-北京市-北京市
活跃行业：建工、医疗、电气
能力评价：在数据生产中，由大数据指纹产生关联与昨日攻击者进行了归并，两个IP同属阿里云。行文特征也高度重合，该攻击者可能具有较多基础设施可以更换，建议不要封禁，持续追踪。
对象5
攻击者IP：124.71.72.93
最近活跃时间：2024-07-27 ~ 2024-07-29
地理位置：广东省-广州市
活跃行业：政府
使用工具：灯塔
能力评价：根据域名信息，该攻击者应该在24年上半年启用，属于华为云 ecs服务器，但却一直没有相关攻击记录。在专项期间开始启用，进行漏洞扫描，疑似专项期间专用的基础设施。
近期攻击行为：漏洞扫描。
关于红雨滴云沙箱
红雨滴云沙箱是威胁情报中心红雨滴团队基于多年的APT高级攻防对抗经验、安全大数据、威胁情报等能力，使用软、硬件虚拟化技术开发实现的真正的“上帝模式”高对抗沙箱，协助奇安信威胁情报中心及相关安服和客户发现了多个在野0day漏洞攻击、nday漏洞攻击，和无数计的APT攻击线索及样本，是威胁情报数据产出的重要基石，并被业内权威威胁分析厂商VirusTotal所集成。
点击“原文链接”，即刻探寻红雨滴云沙箱，现****面向ALPHA全部注册用户免费开放限时两个月的红雨滴云沙箱报告下载权限，用户无需登录可直接投递样本！
