【ニュース】IEのセキュリティ・ホールを試すテスト用ページ

■ニュース記事

　米SANS Instituteなどは現地時間11月21日，Internet Explorer（IE）に危険なセキュリティ・ホールが見つかったことを公表した。細工が施されたWebページにアクセスするだけで悪質なプログラムを実行させられる恐れがある。セキュリティ・ホールを突くことが可能であることを示す実証コード（HTMLファイル）が既に公開されている。パッチは未公開。対策は，アクティブ スクリプトを無効にすることなど。



■以下URLでテストページが公開されております。

http://www.computerterrorism.com/research/ie/poc.htm



【ニュース】IEにパッチ未公開の危険なセキュリティ・ホール，“実証コード”が既に出現

■ニュース記事

　米SANS Instituteなどは現地時間11月21日，Internet Explorer（IE）に危険なセキュリティ・ホールが見つかったことを公表した。細工が施されたWebページにアクセスするだけで悪質なプログラムを実行させられる恐れがある。セキュリティ・ホールを突くことが可能であることを示す実証コード（HTMLファイル）が既に公開されている。パッチは未公開。対策は，アクティブ スクリプトを無効にすることなど。


■ニュース記事

III. 対策

2005年11月22日 (日本時間) 現在、Microsoft より対策済みソフトウェアは
公開されていません。対策済みソフトウェアがリリースされるまでの間の一時
的な対策として JavaScript を無効にするなどの方法があります。

JavaScript を無効にする方法
1.「コントロールパネル」の「インターネットオプション」を開く
2. [セキュリティ] タブを選択
3. Web コンテンツのゾーンの [インターネット] を選択し、
[レベルのカスタマイズ] を選択 (必要であれば [イントラネット] も
同様に設定)
4. [設定] ボックスで、[アクティブ スクリプト] で [無効にする] を
選択し、[OK] を選択


■参考情報

マイクロソフト セキュリティ アドバイザリ (911302)
Internet Explorer の onLoad イベントを処理する方法の脆弱性のため、リモートでコードが実行される
http://www.microsoft.com/japan/technet/security/advisory/911302.mspx

US-CERT Vulnerability Note VU#887861
Microsoft Internet Explorer vulnerable to code execution via scripting "window()" object
http://www.kb.cert.org/vuls/id/887861

http://itpro.nikkeibp.co.jp/article/NEWS/20051122/225025/

http://isc.sans.org/diary.php?storyid=874

http://secunia.com/advisories/15546/


■テストページ

http://www.computerterrorism.com/research/ie/poc.htm



【情報】来年から国家試験にテクニカルエンジニア（情報セキュリティ）試験・・・

来年から国家試験にテクニカルエンジニア（情報セキュリティ）試験が追加されます。

今から皆さんも勉強しましょうね。情報処理技術者試験は下記の書籍が参考になると思います。

かなり広範囲の知識を習得したり社内ネットワーク管理者の研修テキストなどにも使用できると思います。

玄人の方は、この本を読む必要はありません。私は、社内で申請して購入する予定です。


特定非営利活動法人日本ネットワークセキュリティ協会教育部会スキルマップ作成ワーキンググループ, 佐々木 良一
情報セキュリティ プロフェッショナル総合教科書

【情報】スパム対策モジュール ver1.31

■コメント

こんなブログを発見しました。試してないけど今度試してみたいツールです。

■ツール
コメントスパム対策モジュール ver1.31
BlognPlus 用「コメントスパム対策モジュール」をバージョンアップしました。

■ Ver1.20 → Ver1.31 の変更点
メール通知の設定変更機能追加
Captcha モジュールに対応
セキュリティ強化

【サイバー犯罪事件簿】2005年11月20日

サイバー犯罪事件簿は 不定期で更新しています。検知データの値は、自宅(東京)のハニーポッドに対する攻撃をIDSにおいて検知したデータになります。 最近は、インターネットを利用した詐欺や犯罪が多く報道されております。しかし、自分のコンピュータがその犯罪に利用されている事にまだ気づいていない方が多いと思います。 私は、検知データを公表することで、このブログをご覧頂いたあなたのコンピュータが犯罪に利用されていないか？確認していただく手段のひとつとしてご利用して頂ければ幸いです。

----------------------------
■ウィルスなどに感染している恐れがあるIPアドレス
----------------------------


221.211.255.10 53
218.27.16.131 46
218.45.8.179 32
218.45.168.42 21
218.45.110.186 15
218.45.107.136 15
218.45.139.41 14
219.146.161.10 13
218.45.104.83 12
59.36.98.195 10
218.161.20.28 9
66.249.71.55 7
218.162.194.114 6
218.231.138.207 6
218.161.52.172 6
70.104.58.197 5
222.253.2.245 5
218.42.243.194 5
65.122.31.159 5
222.32.58.88 5
218.167.11.233 5
69.151.231.110 5
221.12.161.99 4
72.30.177.19 4
218.166.151.25 4
218.175.200.78 4
218.45.165.156 4
218.42.200.63 4
218.17.86.130 4
218.45.8.164 3
218.24.166.159 3
221.22.185.5 3
218.44.112.202 3
72.30.177.14 3
218.42.222.144 3
218.45.164.245 3
218.168.180.217 3
218.22.180.50 3
218.44.106.166 3
218.44.109.163 3
218.44.109.211 3
218.167.35.52 3
218.16.40.145 3
219.122.137.25 3
218.18.131.128 3
218.41.111.206 3
218.228.211.198 3
218.44.68.18 3
218.37.98.217 3
218.16.116.239 3
218.44.71.57 3
218.19.17.145 3
61.233.40.84 3
220.221.31.167 3
219.224.224.228 3
218.6.245.187 3
4.159.210.49 3
202.105.79.162 3
218.43.216.43 3
218.44.41.13 2
218.171.249.164 2
218.44.23.60 2
221.192.37.143 2
47.163.239.199 2
218.45.139.33 2
218.74.33.58 2
67.108.124.188 2
133.217.12.156 2
218.6.135.115 2
59.148.13.12 2
194.176.155.19 2
213.27.124.188 2
84.162.58.106 2
61.157.152.38 2
202.103.86.66 2
24.80.208.62 2
218.44.28.186 2
218.44.32.114 2
218.248.255.101 1
218.61.114.212 1
220.174.91.144 1
222.113.14.52 1
218.194.90.3 1
219.162.10.216 1
61.160.25.86 1
219.138.243.182 1
202.101.177.138 1
61.172.200.131 1
219.165.170.202 1
45.99.200.215 1
218.11.190.238 1
218.89.65.6 1
218.7.208.69 1
61.174.210.206 1
219.138.199.69 1
194.152.127.217 1
219.148.85.99 1
220.170.199.34 1
212.203.29.2 1
60.191.129.114 1

----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
以下の感染ホスト一覧にあるIPアドレスは、至急ウィルススキャンを実行して下さい。

・影響を受けるシステムについては、次の情報を参考にしてください。
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845 .）

・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci


■感染ホスト
IPaddress 検知件数
なし


----------------------------
■MS05-039脆弱性に対する攻撃(Bot)
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
以下の感染ホスト一覧にあるIPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress　検知件数

218.0.126.20 1
218.190.86.183 1




----------------------------
■MS04-007脆弱性に対する攻撃(Bot)
----------------------------
■検知内容
botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。

亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

以下の感染ホスト一覧にあるIPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress　検知件数

218.45.107.136 5
218.161.20.28 2
218.45.8.179 1
218.166.151.25 1
218.168.180.217 1
218.175.200.78 1
219.162.10.216 1
218.45.165.156 1
218.167.35.52 1
218.167.11.233 1
218.228.211.198 1
218.166.153.37 1
218.239.11.179 1
218.238.218.222 1
218.91.217.73 1
218.171.246.162 1




-------------------------------------
■MS03-039脆弱性に対する攻撃(Bot)
-------------------------------------
■検知内容
Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
以下の感染ホスト一覧にあるIPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト　
IPaddress 検知件数

218.45.104.28 8
218.45.168.42 6
218.42.243.194 4
218.43.107.48 4
218.45.139.41 3
218.42.200.63 3
218.17.86.130 3
218.45.110.186 2
218.45.8.179 2
218.45.8.164 2
218.24.166.159 2
218.44.112.202 2
218.42.222.144 2
218.45.164.245 2
218.44.106.166 2
218.44.109.163 2
218.44.109.211 2
218.16.40.145 2
219.122.137.25 2
218.41.111.206 2
218.44.68.18 2
218.161.20.28 2
218.16.116.239 2
218.44.71.57 2
218.19.17.145 2
220.221.31.167 2
218.6.245.187 2
202.105.79.162 2
218.43.216.43 2
218.1.202.183 2
218.17.216.5 2
218.42.89.224 2
218.44.100.82 2
218.43.211.106 2
218.42.220.93 2
218.1.174.122 2
218.43.142.162 2
61.195.111.99 2
218.44.113.120 2
218.11.77.31 2
218.10.195.45 2
218.44.23.60 1
218.6.135.115 1
218.44.28.186 1
218.44.32.114 1
218.188.23.168 1
218.20.220.163 1
69.177.139.171 1
218.19.246.40 1
218.42.243.12 1
218.44.32.237 1



----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
以下の感染ホスト一覧にあるIPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数
なし


-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。
以下の感染ホスト一覧にあるIPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

■感染ホスト一覧
IPaddress　検知件数

218.248.255.101 1
218.61.114.212 1
202.101.177.138 1
218.89.65.6 1
218.7.208.69 1
212.203.29.2 1
60.191.129.114 1



----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下の感染ホスト一覧にあるに、あなたが管理されているIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■感染ホスト
IPaddress　検知件数

218.45.8.179 4
218.45.110.186 3
70.104.58.197 3
222.253.2.245 3
218.45.139.41 3
65.122.31.159 3
218.45.168.42 3
69.151.231.110 3
162.42.18.127 3
193.248.119.155 3
218.0.126.20 2
218.190.86.183 2
218.167.11.233 1
84.162.58.106 1



----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。


■送信元IPアドレス
IPaddress　検知件数

221.211.255.10 26
218.27.16.131 24
219.146.161.10 8
221.12.161.99 2
61.233.40.84 2
219.224.224.228 2
47.163.239.199 1
133.217.12.156 1
194.176.155.19 1
213.27.124.188 1
45.99.200.215 1
202.103.86.66 1
66.113.175.152 1
215.50.208.148 1
61.172.255.42 1



----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
CodRedワームによる攻撃の検知状況についてお知らせします。
このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、脆弱性に未対応のシステムを探し出して拡散します。
以下の感染ホスト一覧にあるIPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

なし




【ニュース】ワコール不正アクセスにより顧客情報４７５７人分が流出　

-----------------------------------------

コメント

-----------------------------------------

どんな攻撃で被害にあったのでしょうか？被害拡散防止のためにも侵入の手口の公開を行い、注意喚起を広く一般に行うべきだと考えます。


-----------------------------------------

攻撃手口
-----------------------------------------

手口はSQLインジェクション

http://nikkeibp.jp/wcs/leaf/CID/onair/jp/flash/415076


-----------------------------------------

日新聞ニュース
-----------------------------------------

http://www.mainichi-msn.co.jp/shakai/jiken/news/20051120k0000m040098000c.html

-----------------------------------------

・企業名

-----------------------------------------

ワコール


-----------------------------------------

・被害への影響

-----------------------------------------

顧客情報４７５７人分流出　


-----------------------------------------

・原因：

-----------------------------------------

データ管理を委託しているＮＥＣネクサソリューションズ大阪データセンターが調査。

サーバーが外部から不正にアクセスされた形跡を見つかる。

-----------------------------------------

・詳細情報　

-----------------------------------------

女性用下着メーカー最大手「ワコール」（本社・京都市）は１９日、委託先のサーバーに不正アクセスがあり、ネットショッピングサイトの顧客４７５７人分の住所や電話番号、クレジットカード番号や有効期限が流出したと発表した。同社は既にショッピングサイトを停止しており、週明けにも警察に被害届を出す。



【ニュース】Appleの「iTunes」に深刻な欠陥が発見される。

Appleの音楽管理ソフト「iTunes」の一部のバージョンに深刻な脆弱性が見つかった。この脆弱性を悪用されると、攻撃者にリモートからコンピュータを乗っ取られる可能性があると、あるセキュリティ調査会社 注意を呼びかけている。


■ニュース

iTunes 6.0.1リリース記事 （ITmedia）


■詳細：

http://kenken999.s8.xrea.com/archives/000280.html



■コメント

昨日、iTunesのバージョンを６に上げたけど大丈夫なのか確認しないと・・


【サイバー犯罪事件簿】2005年11月17日-19日

■コメント

サイバー犯罪事件簿は 不定期で更新しています。検知データの値は、自宅(東京)のハニーポッドに対する攻撃をIDSにおいて検知したデータになります。

最近は、インターネットを利用した詐欺や犯罪が多く報道されております。しかし、自分のコンピュータがその犯罪に利用されている事にまだ気づいていない方が多いと思います。

私は、検知データを公表することで、このブログをご覧頂いたあなたのコンピュータが犯罪に利用されていないか？確認していただく手段のひとつとしてご利用して頂ければ幸いです。


----------------------------
■リモートからアクセス
----------------------------
Host IDS　events

218.27.16.131 92
221.5.251.241 92
221.211.255.10 66
221.12.161.99 54
218.45.178.78 42
43.244.133.74 32
218.45.6.227 30
220.130.217.15 23
218.45.104.28 15
64.80.229.143 14
218.45.11.14 12
218.102.40.5 12
218.6.155.57 10
218.45.168.254 10
24.106.196.149 8
218.166.48.174 8
218.175.87.12 8
210.191.144.75 7
218.38.30.204 7
218.220.46.187 6
218.45.6.216 6
218.8.179.137 6
218.19.29.209 6
218.47.251.157 5
211.13.137.196 5
211.208.6.67 5
201.1.71.206 5
81.213.197.116 5
201.8.172.184 5
219.65.172.68 5
219.111.199.146 5
218.1.52.6 5
218.45.171.226 4
218.44.35.247 4
218.175.204.200 4
84.95.88.93 4
218.219.241.138 3
218.146.42.55 3
217.15.0.7 3
218.44.123.229 3
218.42.246.137 3
218.44.18.183 3
61.211.36.164 3
209.58.145.242 3
218.33.221.82 3
218.16.89.205 3
218.43.163.221 3
218.44.18.89 3
218.164.10.248 3
218.18.71.76 2
68.142.217.140 2
218.190.233.155 2
218.74.12.45 2
218.29.70.227 2
218.41.118.159 2
218.6.195.56 2
222.45.227.194 2
218.72.116.161 2
218.162.86.195 2
218.73.185.71 2
216.74.57.104 2
218.166.163.222 2
61.153.15.163 2
218.0.137.209 2
222.179.134.16 2
218.89.73.253 2
218.44.38.241 2
218.7.254.51 2
218.74.208.92 2
218.41.40.139 1
218.14.72.78 1
222.90.83.169 1
61.222.78.154 1
218.79.180.12 1
222.136.115.111 1
211.22.147.19 1
69.44.58.34 1
218.16.93.179 1
202.142.194.19 1
66.249.71.10 1
161.226.15.167 1
218.15.49.140 1
219.130.8.108 1
218.18.239.251 1
218.41.72.17 1
218.42.225.2 1
218.45.171.237 1
61.153.216.14 1
218.24.78.70 1
66.249.64.25 1
218.90.161.99 1
218.23.221.96 1
61.152.90.62 1
218.0.244.73 1
218.24.183.120 1
218.44.86.32 1
218.42.243.28 1
218.4.153.36 1
218.236.224.220 1
66.249.64.15 1

----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

・影響を受けるシステムについては、次の情報を参考にしてください。
XML-RPC PHP command execution（http://xforce.iss.net/xforce/xfdb/21194 ）
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845 .）

・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci


■感染ホスト
IPaddress 　　検知件

84.73.105.43 10
218.45.168.254 2
218.242.255.43 2
218.45.110.143 2
218.45.166.89 2
218.47.251.157 1
211.13.137.196 1
24.106.196.149 1
218.38.30.204 1
218.166.48.174 1
218.175.87.12 1
218.71.174.158 1
218.45.165.243 1
218.87.1.82 1
218.45.172.31 1
218.51.44.153 1
218.87.28.123 1
218.47.123.27 1
218.45.109.17 1
218.247.15.203 1
218.166.177.236 1
218.12.141.50 1
218.111.51.14 1
218.7.173.202 1
218.0.15.132 1
218.4.23.103 1
218.11.199.110 1
218.63.101.147 1
218.36.35.64 1
218.16.48.71 1
218.89.54.14 1
222.65.15.124 1
218.22.191.26 1
218.65.8.246 1
218.16.242.86 1


----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress　　検知件数

218.45.168.254 2
218.242.255.43 2
218.45.110.143 2
218.45.166.89 2
218.47.251.157 1
211.13.137.196 1
24.106.196.149 1
218.38.30.204 1
218.166.48.174 1
218.175.87.12 1
218.71.174.158 1
218.45.165.243 1
218.87.1.82 1
218.45.172.31 1
218.51.44.153 1
218.87.28.123 1
218.47.123.27 1
218.45.109.17 1
218.247.15.203 1
218.166.177.236 1
218.12.141.50 1
218.111.51.14 1
218.7.173.202 1
218.0.15.132 1
218.4.23.103 1
218.11.199.110 1
218.63.101.147 1
218.36.35.64 1
218.16.48.71 1
218.89.54.14 1
222.65.15.124 1
218.22.191.26 1
218.65.8.246 1
218.16.242.86 1



----------------------------
■botワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。
以下の弱性を悪用します。
MS04-007

亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress　　検知件数

218.45.174.82 27
200.181.108.122 6
218.45.165.34 3
218.45.193.1 3
218.220.46.187 2
218.45.167.170 2
218.45.106.85 2
218.45.165.164 2
218.41.40.139 1
218.175.204.200 1
218.38.101.101 1
218.229.226.231 1
200.41.76.242 1
218.162.156.40 1
218.30.170.131 1
211.210.114.137 1
218.172.100.23 1
83.238.81.5 1
218.45.165.228 1
210.66.62.80 1
218.44.100.58 1
218.45.170.111 1
200.13.165.134 1
218.160.185.28 1
218.167.239.215 1
218.210.128.224 1
218.220.16.75 1
218.71.23.43 1
218.168.93.205 1
218.235.216.155 1
218.172.82.151 1
218.223.54.166 1
218.53.56.77 1
218.191.194.203 1
218.191.144.88 1


-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト　
IPaddress　　検知件数

218.45.6.227 11
218.45.139.41 11
218.45.167.170 6
218.43.190.85 5
218.8.179.137 4
218.1.52.6 4
218.0.208.204 4
218.43.235.111 4
218.45.167.196 4
218.45.171.226 3
218.45.104.28 3
218.44.35.247 3
218.44.100.62 3
218.30.170.131 3
218.44.122.115 3
218.45.6.153 3
218.41.13.72 3
218.219.241.138 2
217.15.0.7 2
218.44.123.229 2
218.42.246.137 2
218.44.18.183 2
61.211.36.164 2
218.33.221.82 2
218.16.89.205 2
218.43.163.221 2
218.44.18.89 2
218.164.10.248 2
218.41.63.178 2
218.13.21.177 2
218.43.107.48 2
218.42.243.235 2
218.161.7.223 2
218.45.6.195 2
218.17.169.218 2
218.43.63.28 2
218.42.205.113 2
218.44.16.173 2
218.24.176.220 2
218.11.207.88 2
218.41.96.119 2
219.122.136.199 2
218.17.238.122 2
218.44.41.147 2
218.42.246.110 2
218.13.25.205 2
218.24.172.194 2
218.42.10.92 2
218.24.178.9 2
218.33.221.88 2
218.18.6.134 2
218.43.234.246 2
218.18.243.2 2
218.45.89.105 2
218.18.81.47 2
218.10.195.45 2
218.42.100.114 2
218.88.236.18 2
218.20.126.54 2
218.43.181.95 2
218.6.218.140 2
218.45.8.198 2
218.45.8.221 2
218.16.113.156 2
218.44.21.127 2
218.41.205.42 2
218.41.30.86 2
218.0.246.125 2
218.44.68.154 2
218.43.144.124 2
218.45.179.53 2
221.209.28.226 2
218.41.63.55 2
218.44.111.10 2
218.17.245.70 2
218.45.6.19 2
218.29.70.227 1
218.6.195.56 1
218.44.38.241 1
218.7.254.51 1
218.41.239.63 1
218.44.21.168 1
216.209.213.63 1
71.0.135.136 1
218.44.31.17 1
218.17.193.170 1
218.43.46.115 1
218.29.71.121 1
218.43.35.157 1
218.13.19.70 1
218.18.177.24 1
218.42.200.148 1
218.43.49.10 1
218.24.39.107 1
218.42.200.109 1
218.42.209.103 1
218.18.241.204 1
218.42.53.97 1
218.44.29.204 1
218.11.216.151 1


----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 　　検知件数

218.102.40.5 2
218.45.104.28 1
218.45.11.14 1
218.45.178.78 1


-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

■感染ホスト一覧
IPaddress　　検知件数

219.138.207.29 3
222.179.217.131 3
68.142.217.140 2
216.74.57.104 2
61.153.15.163 2
222.179.134.16 2
61.153.213.141 2
61.175.218.186 2
212.203.29.2 2
61.153.216.14 1
222.183.120.183 1
218.88.253.138 1
218.89.0.227 1
61.180.16.100 1
218.89.167.95 1
61.139.44.229 1
218.70.100.108 1
202.101.177.138 1
60.191.129.114 1
218.41.29.6 1
221.127.12.171 1
218.248.255.101 1
218.7.208.69 1
221.202.84.227 1
202.103.207.139 1
209.94.26.207 1
218.89.65.6 1
202.101.70.43 1
219.87.129.139 1
125.192.63.46 1
207.183.41.202 1
210.203.248.130 1
151.202.100.224 1
84.195.238.55 1


----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■感染ホスト
IPaddress 　検知件数

85.234.136.196

 1870
4.35.166.174 1619
218.189.241.28 714
200.13.165.134 139
220.150.239.92 94
62.15.219.183 94
207.23.107.13 94
202.146.77.247 65
69.34.81.160 60
82.67.71.148 30
208.251.193.246 11
218.72.110.195 4
218.24.80.168 4
82.224.109.78 1
65.93.180.77 1
58.232.68.187 1
59.112.213.27 1
125.30.10.147 1


----------------------------　　　
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。


■送信元IPアドレス
IPaddress 　検知件数

218.27.16.131 51
221.5.251.241 50
221.211.255.10 35
221.12.161.99 27
218.27.103.206 21
219.146.161.10 12
221.5.251.242 10
202.103.86.66 8
222.38.148.22 8
222.38.148.19 4
61.233.40.84 4
161.226.15.167 1
147.147.88.9 1
73.93.86.178 1
84.14.111.117 1
85.75.201.178 1
73.30.92.194 1
218.85.207.175 1
32.46.186.109 1
144.103.156.119 1
72.227.36.52 1
162.123.212.246 1
200.101.96.16 1
83.7.45.211 1
53.115.156.41 1
64.231.39.139 1
138.88.74.71 1


----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

なし


白井 雄一郎, 又江原 恭彦, 白浜 直哉, 柳岡 裕美, 三輪 信雄
インターネットセキュリティ 不正アクセスの手法と防御

【サーバ犯罪事件簿】2005年11月16日


----------------------------
■リモートから不正なアクセス
----------------------------
Host IDS events
218.39.170.215 1846
84.162.246.10 93
218.27.16.131 79
221.5.251.241 59
221.5.251.242 40
125.30.10.147 23
218.27.103.206 18
218.45.170.77 17
221.113.55.203 15
218.45.139.41 12
218.45.173.81 11
221.12.161.99 10
84.40.203.220 8
218.45.110.85 8
218.45.8.219 7
66.249.64.77 7
218.229.36.3 6
222.122.63.49 6
218.12.45.126 6
218.44.119.242 5
219.134.181.210 5
218.42.250.129 5
218.43.224.119 5
200.253.251.120 5
193.226.113.242 5
83.18.63.18 5
217.48.226.56 5
201.16.39.244 5
201.32.190.231 5
64.223.92.108 5
220.139.6.47 5
200.94.46.137 5
194.2.110.176 5
218.60.139.93 5
84.145.252.121 5
218.23.209.152 5
218.42.243.131 4
218.230.227.63 4
218.45.79.150 4
218.25.149.96 4
218.43.227.53 4
218.91.80.189 4
218.33.221.136 4
61.214.81.119 4
218.169.43.225 3
218.253.25.98 3
218.45.108.24 3
218.233.142.183 3
218.253.8.177 3
218.43.212.120 3
218.255.149.124 3
218.42.16.90 3
218.43.224.211 3
218.168.144.174 3
211.43.206.113 3
218.253.217.90 3
218.255.43.52 3
218.16.233.55 3
218.19.210.242 3
218.45.166.175 3
218.255.58.48 3
218.238.175.219 3
61.233.40.84 3
218.45.3.45 3
218.255.202.149 3
218.252.13.36 3
218.41.3.138 3
218.41.85.153 3
218.44.17.198 2
218.169.35.212 2
218.24.171.202 2
218.42.239.244 2
218.72.234.18 2
221.211.255.10 2
218.81.211.17 2
218.18.170.21 2
218.253.173.100 2
218.47.244.45 2
218.64.54.177 2
218.17.196.159 2
221.238.129.246 2
218.171.248.31 2
218.88.43.119 2
218.252.114.48 2
219.133.130.177 2
218.231.238.81 2
218.25.145.151 2
218.21.72.41 2
218.9.154.129 1
218.43.48.136 1
218.200.176.30 1
211.138.8.174 1
222.183.80.180 1
218.18.142.35 1
202.98.9.91 1
218.25.253.38 1
219.148.104.163 1
216.139.47.112 1
218.23.199.64 1
60.191.129.114 1


----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

・影響を受けるシステムについては、次の情報を参考にしてください。
XML-RPC PHP command execution（http://xforce.iss.net/xforce/xfdb/21194 ）
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845 .）

・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci


■感染ホスト
IPaddress 検知件
82.204.128.34
219.192.92.78


----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数
218.22.191.26
218.45.104.199
218.63.69.115
218.64.186.179
218.65.59.26
218.71.252.61
218.95.30.184



----------------------------
■botワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。
以下の弱性を悪用します。
MS04-007

亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。

送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数
218.0.253.44
218.8.195.198
218.36.65.55
218.39.54.68
218.45.110.85
218.45.170.115
218.47.87.153
218.55.120.24
218.60.139.93
218.64.14.191
218.64.45.13
218.74.206.15
218.76.109.145
218.91.80.189
218.103.116.133
218.111.152.243
218.160.245.123
218.160.245.155
218.161.70.76
218.162.163.186
218.164.86.124
218.165.175.129
218.166.176.231
218.168.45.181
218.168.50.232
218.168.144.174
218.168.190.24
218.169.43.225
218.169.231.118
218.170.47.74
218.171.247.192
218.172.81.223
218.172.108.105
218.172.247.252
218.175.61.174
218.189.17.101
218.189.80.71
218.190.161.85
218.191.64.36
218.191.123.112
218.191.128.111
218.191.132.105
218.191.197.147
218.210.0.137
218.238.175.219
218.254.161.82



-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト　
IPaddress 検知件数
61.214.81.119
194.2.110.176
218.0.218.11
218.1.214.80
218.7.187.147
218.8.179.137
218.8.179.186
218.10.29.238
218.12.45.126
218.12.67.215
218.13.16.174
218.13.52.2
218.13.53.167
218.13.54.112
218.14.68.244
218.14.212.66
218.15.104.233
218.16.52.2
218.16.69.137
218.16.75.206
218.16.233.55
218.17.9.39
218.17.196.159
218.17.249.116
218.18.30.59
218.18.47.106
218.18.74.23
218.18.91.42
218.18.170.21
218.18.202.167
218.18.211.53
218.19.210.242
218.20.161.194
218.21.72.41
218.22.140.166
218.23.209.152
218.24.39.102
218.24.76.221
218.24.164.48
218.24.164.65
218.24.178.146
218.25.145.151
218.25.149.96
218.25.149.167
218.33.221.136
218.41.3.138
218.41.74.236
218.41.85.153
218.41.96.138
218.42.16.90
218.42.53.97
218.42.90.12
218.42.118.151
218.42.206.119
218.42.210.247
218.42.225.33
218.42.229.163
218.42.233.43
218.42.239.244
218.42.243.131
218.42.250.129
218.43.138.179
218.43.175.114
218.43.178.206
218.43.198.197
218.43.212.120
218.43.224.119
218.43.224.122
218.43.224.211
218.43.227.53
218.43.238.125
218.44.17.198
218.44.97.234
218.44.111.103
218.44.119.242
218.45.3.45
218.45.5.28
218.45.5.209
218.45.8.219
218.45.11.112
218.45.108.24
218.45.139.41
218.45.166.175
218.45.167.175
218.45.173.81
218.64.107.9
218.72.28.24
218.79.99.41
218.81.211.17
218.87.242.178
218.189.227.229
218.191.197.215
218.224.187.188
218.229.36.3
218.230.209.33
218.251.75.252
219.133.227.136
219.134.181.210
221.113.55.203
221.236.200.147



----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数
なし


-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx

■感染ホスト一覧
IPaddress 検知件数
58.92.94.25
60.191.129.114
61.153.15.163
67.83.141.251
68.142.217.140
211.138.8.174
216.74.57.104
218.25.253.38
218.88.253.138
218.200.176.30
221.202.84.227
222.145.138.69
222.179.217.131
222.183.80.180


----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。

■感染ホスト
IPaddress 検知件数
84.162.246.10
125.30.10.147
218.14.204.182
218.39.170.215



----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。


■送信元IPアドレス
IPaddress 検知件数
61.233.40.84
72.227.36.52
136.249.191.254
202.103.86.66
216.139.47.112
218.27.16.131
218.27.103.206
219.146.161.10
220.27.234.194
221.5.251.241
221.5.251.242
221.12.161.99
221.203.189.44
221.208.208.8
221.211.255.10
221.238.129.246
222.38.148.22

----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。

■感染ホスト
IPaddress 検知件数

なし