----------------------------
■リモートから不正なアクセス
----------------------------
Host IDS events
218.39.170.215 1846
84.162.246.10 93
218.27.16.131 79
221.5.251.241 59
221.5.251.242 40
125.30.10.147 23
218.27.103.206 18
218.45.170.77 17
221.113.55.203 15
218.45.139.41 12
218.45.173.81 11
221.12.161.99 10
84.40.203.220 8
218.45.110.85 8
218.45.8.219 7
66.249.64.77 7
218.229.36.3 6
222.122.63.49 6
218.12.45.126 6
218.44.119.242 5
219.134.181.210 5
218.42.250.129 5
218.43.224.119 5
200.253.251.120 5
193.226.113.242 5
83.18.63.18 5
217.48.226.56 5
201.16.39.244 5
201.32.190.231 5
64.223.92.108 5
220.139.6.47 5
200.94.46.137 5
194.2.110.176 5
218.60.139.93 5
84.145.252.121 5
218.23.209.152 5
218.42.243.131 4
218.230.227.63 4
218.45.79.150 4
218.25.149.96 4
218.43.227.53 4
218.91.80.189 4
218.33.221.136 4
61.214.81.119 4
218.169.43.225 3
218.253.25.98 3
218.45.108.24 3
218.233.142.183 3
218.253.8.177 3
218.43.212.120 3
218.255.149.124 3
218.42.16.90 3
218.43.224.211 3
218.168.144.174 3
211.43.206.113 3
218.253.217.90 3
218.255.43.52 3
218.16.233.55 3
218.19.210.242 3
218.45.166.175 3
218.255.58.48 3
218.238.175.219 3
61.233.40.84 3
218.45.3.45 3
218.255.202.149 3
218.252.13.36 3
218.41.3.138 3
218.41.85.153 3
218.44.17.198 2
218.169.35.212 2
218.24.171.202 2
218.42.239.244 2
218.72.234.18 2
221.211.255.10 2
218.81.211.17 2
218.18.170.21 2
218.253.173.100 2
218.47.244.45 2
218.64.54.177 2
218.17.196.159 2
221.238.129.246 2
218.171.248.31 2
218.88.43.119 2
218.252.114.48 2
219.133.130.177 2
218.231.238.81 2
218.25.145.151 2
218.21.72.41 2
218.9.154.129 1
218.43.48.136 1
218.200.176.30 1
211.138.8.174 1
222.183.80.180 1
218.18.142.35 1
202.98.9.91 1
218.25.253.38 1
219.148.104.163 1
216.139.47.112 1
218.23.199.64 1
60.191.129.114 1
----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
・影響を受けるシステムについては、次の情報を参考にしてください。
XML-RPC PHP command execution（http://xforce.iss.net/xforce/xfdb/21194
）
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845
.）
・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci
■感染ホスト
IPaddress 検知件
82.204.128.34
219.192.92.78
----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
218.22.191.26
218.45.104.199
218.63.69.115
218.64.186.179
218.65.59.26
218.71.252.61
218.95.30.184
----------------------------
■botワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。
以下の弱性を悪用します。
MS04-007
亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
218.0.253.44
218.8.195.198
218.36.65.55
218.39.54.68
218.45.110.85
218.45.170.115
218.47.87.153
218.55.120.24
218.60.139.93
218.64.14.191
218.64.45.13
218.74.206.15
218.76.109.145
218.91.80.189
218.103.116.133
218.111.152.243
218.160.245.123
218.160.245.155
218.161.70.76
218.162.163.186
218.164.86.124
218.165.175.129
218.166.176.231
218.168.45.181
218.168.50.232
218.168.144.174
218.168.190.24
218.169.43.225
218.169.231.118
218.170.47.74
218.171.247.192
218.172.81.223
218.172.108.105
218.172.247.252
218.175.61.174
218.189.17.101
218.189.80.71
218.190.161.85
218.191.64.36
218.191.123.112
218.191.128.111
218.191.132.105
218.191.197.147
218.210.0.137
218.238.175.219
218.254.161.82
-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
61.214.81.119
194.2.110.176
218.0.218.11
218.1.214.80
218.7.187.147
218.8.179.137
218.8.179.186
218.10.29.238
218.12.45.126
218.12.67.215
218.13.16.174
218.13.52.2
218.13.53.167
218.13.54.112
218.14.68.244
218.14.212.66
218.15.104.233
218.16.52.2
218.16.69.137
218.16.75.206
218.16.233.55
218.17.9.39
218.17.196.159
218.17.249.116
218.18.30.59
218.18.47.106
218.18.74.23
218.18.91.42
218.18.170.21
218.18.202.167
218.18.211.53
218.19.210.242
218.20.161.194
218.21.72.41
218.22.140.166
218.23.209.152
218.24.39.102
218.24.76.221
218.24.164.48
218.24.164.65
218.24.178.146
218.25.145.151
218.25.149.96
218.25.149.167
218.33.221.136
218.41.3.138
218.41.74.236
218.41.85.153
218.41.96.138
218.42.16.90
218.42.53.97
218.42.90.12
218.42.118.151
218.42.206.119
218.42.210.247
218.42.225.33
218.42.229.163
218.42.233.43
218.42.239.244
218.42.243.131
218.42.250.129
218.43.138.179
218.43.175.114
218.43.178.206
218.43.198.197
218.43.212.120
218.43.224.119
218.43.224.122
218.43.224.211
218.43.227.53
218.43.238.125
218.44.17.198
218.44.97.234
218.44.111.103
218.44.119.242
218.45.3.45
218.45.5.28
218.45.5.209
218.45.8.219
218.45.11.112
218.45.108.24
218.45.139.41
218.45.166.175
218.45.167.175
218.45.173.81
218.64.107.9
218.72.28.24
218.79.99.41
218.81.211.17
218.87.242.178
218.189.227.229
218.191.197.215
218.224.187.188
218.229.36.3
218.230.209.33
218.251.75.252
219.133.227.136
219.134.181.210
221.113.55.203
221.236.200.147
----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
なし
-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx
■感染ホスト一覧
IPaddress 検知件数
58.92.94.25
60.191.129.114
61.153.15.163
67.83.141.251
68.142.217.140
211.138.8.174
216.74.57.104
218.25.253.38
218.88.253.138
218.200.176.30
221.202.84.227
222.145.138.69
222.179.217.131
222.183.80.180
----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■感染ホスト
IPaddress 検知件数
84.162.246.10
125.30.10.147
218.14.204.182
218.39.170.215
----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。
■送信元IPアドレス
IPaddress 検知件数
61.233.40.84
72.227.36.52
136.249.191.254
202.103.86.66
216.139.47.112
218.27.16.131
218.27.103.206
219.146.161.10
220.27.234.194
221.5.251.241
221.5.251.242
221.12.161.99
221.203.189.44
221.208.208.8
221.211.255.10
221.238.129.246
222.38.148.22
----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
なし