AG公司云
Weblogic WLS组件误差 手艺剖析与防护计划
2017-11-23
综述
克日，AG公司科技应急响应团队也陆续接到来自金融、运营商及互联网等多个行业的客户的清静事务的反响，发明Weblogic主机被攻击者植入恶意程序，经剖析，攻击者使用Weblogic WLS 组件误差(CVE-2017-10271)，结构payload下载并执行虚拟币挖矿程序，对Weblogic中心件主机举行攻击 。
受影响的版本
● Weblogic Server 10.3.6.0.0
● Weblogic Server 12.1.3.0.0
● Weblogic Server 12.2.1.1.0
● Weblogic Server 12.2.1.2.0
以上均为Weblogic官方还在支持的版本
不受影响的版本
● Weblogic Server 12.2.1.3
手艺防护计划
用户自查
由于此次攻击主要目的为下载执行挖矿程序，从主机层面可通过监控主机系统资源或历程剖析方法举行检测，从网络层面可对C&C地点及矿池相关域名/IP举行监控，以发明其他受熏染主机 。
官方修复计划
Oracle官方关于Weblogic WLS组件误差(CVE-2017-10271)在10月份的更新补丁中已经举行了修复，建议用户实时下载更新包，升级至最新版本举行防护 。
下载链接：
http://www.oracle.com/technetwork/middleware/weblogic/downloads/index.html
暂时防护计划
凭证攻击者使用POC剖析发明所使用的为wls-wsat组件的CoordinatorPortType接口，若Weblogic服务器集群中未应用此组件，建议暂时备份后将此组件删除 。
AG公司科技防护建议
AG公司科技检测类产品与服务
● 公网资产可使用AG公司云 紧迫误差在线检测，检测地点如下：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12
● 内网资产可以使用AG公司科技的远程清静评估系统(RSAS V6/V5 )或Web应用误差扫描系统（WVSS） 举行检测:
· 远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
· 远程清静评估系统（RSAS V5）
http://update.nsfocus.com/update/listAurora/v/5
· Web应用误差扫描系统（WVSS）
http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
● 内网资产可以使用AG公司科技的入侵检测系统(IDS)举行检测 。
入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
通过上述链接，升级至最新版本即可举行检测
使用AG公司科技防护类产品（IPS/NF/WAF）举行防护：
● 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
● 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
● Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接，升级至最新版本即可举行防护！
