agente de usuario doble. ¿Malware?

Question

agente de usuario doble. ¿Malware?

#1 de Philipp (3 votos)

0

El lugar donde trabajo en algún momento está recibiendo una alerta de los NIPS que indica:

[1:30918:2] "MALWARE-CNC User-Agent known malicious user agent - User-Agent User-Agent Mozilla"

El agente de usuario en el paquete es:

User-Agent: User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.31 (KHTML, like Gecko) Chrome/26.0.1410.64 Safari/537.31

Viene de algunos clientes que acceden a nuestro sitio web. Básicamente cambia la dirección IP. O eso o el cliente múltiple están infectados. La regla indica que el cliente se infectaría con algún virus que intentara conectarse a un servidor de comando y control. Es bueno que este paquete venga de afuera, porque lo contrario significaría que estaríamos infectados. Lo que no entiendo es por qué está tratando de comunicarse con nosotros? Obviamente, no es un navegador legítimo como Chrome o Firefox, sino un script que intenta parecerse a él. ¿No debería intentar comunicarse con el servidor de C & C? ¿Esto significa que nuestros servidores están infectados (o se infectaron en algún momento) con algún tipo de C & C hop / proxy que redirige la información?

network malware virus

pregunta VBTech 13.12.2018 - 16:40

fuente

1 respuesta

Lea otras preguntas en las etiquetas network malware virus

¿Kaspersky Total Security es una buena opción contra el malware? [cerrado] ¿El servidor de descarga de archivos puedo especificar qué logotipo tendrá el archivo en la computadora del usuario?

score 3 · Accepted Answer

Los clientes web tienen derecho a pasar cualquier cadena User-Agent que les guste. No hay una buena razón para denegar el acceso solo porque sus NIPS no pueden entender la cadena de agente de usuario. Si lo permite, entonces puede denegar el acceso de usuarios legítimos con configuraciones de navegador no convencionales.

Le recomendaría que configure su NIPS para detener el bloqueo de estas solicitudes, a menos que pueda encontrar algo que sea realmente sospechoso de ellas. Algo en realidad podría ser sospechoso si la cadena contiene un intento de hacer una inyección SQL o una inyección XSS (con la esperanza de que los agentes de usuario se almacenen en una base de datos y / o se muestren en una interfaz web y no lo hagan). desinfectar su entrada correctamente).