■検知日時
2005-03-02 AM00:00からAM8:00まで
-------------------------------------
-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx
■感染ホスト一覧
61.153.143.164
61.185.8.16
82.120.219.154
84.234.185.185
203.70.56.1
218.6.193.219
218.89.65.6
218.242.245.232
219.129.20.104
220.176.196.27
222.180.96.130
-------------------------------------
■Blasterワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。送信元IPアドレスは、恐らくこの脆弱性を
利用して拡散するBlasterワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
222.83.158.176
222.84.58.234
222.182.2.129
222.183.210.232
222.209.112.210
222.209.128.160
222.210.192.147
222.212.213.129
222.212.215.182
222.216.254.194
222.222.108.104
222.222.244.201
222.222.253.60
222.223.66.173
----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
222.90.81.82
222.208.168.102
222.216.254.194
222.222.253.60
222.212.215.182
----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
222.134.50.10
----------------------------
■Gaobotワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Gaobotワームによる攻撃の検知状況についてお知らせします。このワームは、アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。以下の有名な2つの脆弱性を悪用します。
MS03-001 (RPC Locator)
MS03-026 (Dcom RPC)
亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、一般的には、他のリモートファイルをダウンロードして実行しようとします。
送信元IPアドレスは、恐らくGaobotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
http://www.mcafeesecurity.com/japan/security/virG2004.asp?v=W32/Gaobot.worm.gen
検知ログ例
■感染ホスト
検知なし
----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■感染ホスト
218.12.37.38
201.254.178.175
----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。
■送信元IPアドレス
209.181.102.15
66.235.214.176
66.235.214.178
209.181.97.209
66.235.214.177
66.235.214.179
66.235.214.172