----------------------------
■リモートから不正なアクセス
----------------------------
Host IDS events
86.52.188.125 1355
125.30.10.147 34
218.27.16.180 33
68.148.213.67 27
221.211.255.10 25
61.138.136.27 24
219.146.161.10 18
218.27.16.131 14
222.38.148.19 13
163.22.241.55 11
202.216.52.98 11
218.32.104.39 8
220.107.25.70 7
202.103.86.66 6
218.55.4.54 6
218.160.45.24 6
218.235.114.211 6
218.252.40.61 6
83.28.229.48 5
83.51.163.187 5
84.0.27.102 5
85.97.200.99 5
85.104.7.161 5
165.146.5.239 5
193.179.41.143 5
200.55.48.17 5
200.168.100.207 5
200.213.167.76 5
201.50.62.112 5
211.107.243.134 5
213.5.25.8 5
218.22.191.26 4
218.44.120.207 4
218.45.3.65 4
218.45.108.192 4
61.141.233.154 3
61.185.81.44 3
218.0.217.194 3
218.1.187.108 3
218.1.230.123 3
218.6.194.68 3
218.12.67.63 3
218.17.253.43 3
218.18.43.134 3
218.41.85.243 3
218.41.95.166 3
218.42.74.167 3
218.52.24.28 3
218.64.102.55 3
218.88.183.156 3
218.155.57.244 3
218.160.245.143 3
218.161.70.76 3
218.164.80.122 3
218.164.165.14 3
218.166.59.57 3
218.166.89.253 3
218.168.99.192 3
218.169.176.202 3
218.172.89.224 3
218.210.128.224 3
218.220.130.99 3
218.232.200.97 3
218.252.108.143 3
218.253.8.177 3
218.253.72.145 3
218.253.72.178 3
218.253.181.244 3
220.136.16.160 3
222.92.154.130 3
60.191.35.140 2
81.192.114.56 2
82.206.239.16 2
85.136.79.21 2
196.201.73.14 2
211.229.213.31 2
211.239.157.137 2
218.5.161.67 2
218.42.100.194 2
218.61.15.243 2
218.72.113.67 2
218.76.108.167 2
218.164.141.13 2
218.166.37.219 2
218.171.246.115 2
218.190.150.205 2
218.222.236.27 2
221.212.21.6 2
60.191.249.141 1
68.142.217.140 1
87.2.96.206 1
202.100.56.221 1
208.57.105.20 1
211.138.8.174 1
212.179.220.182 1
218.45.101.10 1
218.63.105.241 1
218.84.100.253 1
218.252.156.3 1
221.232.23.219 1
----------------------------
■PHPおよびAwstasts脆弱性に対する攻撃
----------------------------
PHPで利用される XML_RPCの脆弱性を利用した攻撃および、Awstasts(Webインターフェースを持つフリーのログ解析ツール)
に対する攻撃です。攻撃の内容を分析すると、Linux上で稼動しているApache PHPの組み合わせをターゲットにしたもので、
UNIX系のシステムをターゲットとした、ワームまたはボットによる攻撃で、感染が広がっている状況にあると考えられます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
・影響を受けるシステムについては、次の情報を参考にしてください。
XML-RPC PHP command execution（http://xforce.iss.net/xforce/xfdb/21194
）
US-CERT Vulnerability Note VU#442845, Multiple PHP XML-RPC implementations vulnerable to code injection （http://www.kb.cert.org/vuls/id/442845
.）
・参考
XML RPC worm - New Variant - ELF_LUPPER.B (NEW)
http://isc.sans.org/diary.php?storyid=829
Linuxをねらう新ワーム「Lupper」--ウェブサーバの脆弱性を悪用
http://headlines.yahoo.co.jp/hl?a=20051108-00000008-cnet-sci
■感染ホスト
IPaddress 検知件
なし
----------------------------
■MS05-039脆弱性に対する攻撃
----------------------------
プラグ アンド プレイ サービスは、デバイスのインストール、設定、および新規デバイスの通知を担当する
Windows DCE-RPC サービスです。最近のバージョンの Windowsオペレーティング システムでは、このサービス
が自動的に起動し、デフォルト設定で動作します。この脆弱性を利用したbotワームも確認されております。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
218.242.243.10
----------------------------
■botワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。botワームによる攻撃の検知状況についてお知らせします。このワームは、
アクセス可能なネットワーク共有、またはセキュリティが不十分なネットワーク共有で繁殖します。
以下の弱性を悪用します。
MS04-007
亜種のいくつかは、リモートのIRCサーバに接続して、特定のIRCチャネルに参加しようとします。接続すると、
ボットとして機能し、ハッカーからのリモートコマンドを待ちます。亜種によって機能はさまざまですが、
一般的には、他のリモートファイルをダウンロードして実行しようとします。
送信元IPアドレスは、恐らくbotワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
58.69.4.54
60.248.130.250
67.180.55.37
68.148.213.67
68.148.220.201
68.148.240.120
68.175.36.151
68.221.125.14
81.22.88.195
84.122.18.18
163.22.241.55
172.152.254.75
200.88.59.231
200.142.141.214
200.202.194.20
201.217.223.13
203.223.207.57
203.230.20.123
218.27.0.101
218.33.133.243
218.44.87.26
218.44.120.207
218.45.108.192
218.45.109.130
218.45.109.189
218.72.109.12
218.76.106.128
218.87.64.14
218.87.94.50
218.88.212.173
218.160.125.83
218.160.125.175
218.160.245.143
218.161.70.76
218.164.80.122
218.164.165.14
218.166.59.57
218.166.89.253
218.168.46.153
218.168.53.100
218.168.54.61
218.168.87.126
218.168.99.192
218.169.176.202
218.172.89.224
218.174.156.219
218.191.132.105
218.210.128.224
218.220.98.159
218.220.130.99
218.232.153.34
218.235.114.211
218.251.31.55
220.136.16.160
220.149.40.141
220.149.41.29
220.149.41.87
220.245.135.190
-------------------------------------
■Blaster(bot)ワームの検知状況
-------------------------------------
■検知内容
自宅ハニーポッドサーバに対して、Microsoft RPC サービスの脆弱点MS03-039に対する攻撃を検知しました。
送信元IPアドレスは、恐らくこの脆弱性を利用して拡散するBlaster(bot)ワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
59.40.158.35
60.20.242.233
61.141.233.154
61.214.201.5
218.0.120.81
218.0.217.194
218.1.187.108
218.1.205.177
218.1.230.123
218.6.194.68
218.7.126.85
218.7.254.130
218.10.12.167
218.12.45.126
218.12.67.63
218.12.140.87
218.13.3.224
218.13.9.112
218.13.10.214
218.13.19.169
218.13.21.210
218.13.53.140
218.13.143.163
218.14.212.66
218.16.53.124
218.16.77.229
218.17.4.167
218.17.63.160
218.17.69.15
218.17.123.143
218.17.234.245
218.17.253.43
218.18.24.99
218.18.43.134
218.18.58.188
218.18.113.180
218.18.185.208
218.18.201.158
218.18.214.207
218.18.245.60
218.19.117.127
218.19.126.95
218.24.174.230
218.24.176.209
218.33.191.160
218.33.212.69
218.41.16.199
218.41.74.222
218.41.85.243
218.41.95.166
218.41.108.60
218.42.53.97
218.42.74.167
218.42.77.237
218.42.100.121
218.42.100.194
218.42.107.222
218.42.200.58
218.42.205.2
218.42.216.169
218.42.225.68
218.42.226.230
218.42.243.38
218.42.243.148
218.43.46.164
218.43.139.232
218.43.161.42
218.43.161.169
218.43.178.158
218.43.191.185
218.43.234.99
218.44.22.19
218.44.29.42
218.44.29.221
218.44.111.139
218.45.3.65
218.45.164.225
218.45.166.95
218.45.173.83
218.45.173.162
218.47.205.71
218.63.90.30
218.64.102.55
218.71.214.170
218.72.28.95
218.78.204.201
218.88.183.156
218.190.119.18
218.190.150.205
218.191.16.30
218.191.194.3
218.226.240.206
218.229.36.3
218.229.100.235
----------------------------
■Sasserワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。Sasserワームによる攻撃の検知状況についてお知らせします。Sasser.Worm は、マイクロソフト セキュリティ情報 MS04-011 で解説されている脆弱性の悪用を試みるワームです。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくSasserワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
なし
-------------------------------------
■Slammerワームの検知状況
-------------------------------------
■検知内容
自宅のハニーポッドサーバに対して、SQL Server2000のMS02-039脆弱性を利用した、攻撃を検知しました。送信元IPアドレスは、この脆弱性を利用して拡散を行う、Slammerワームに感染していると思われます。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■脆弱性の詳細情報
http://www.microsoft.com/japan/technet/security/bulletin/MS02-039.mspx
■感染ホスト一覧
IPaddress 検知件数
60.176.253.168
60.191.249.141
61.153.213.141
61.180.11.130
68.142.217.140
81.196.243.138
83.41.247.143
202.61.27.235
202.101.70.43
202.103.207.139
211.138.8.174
211.142.59.22
218.88.253.138
218.89.0.227
218.89.167.95
221.187.250.166
221.194.28.250
221.202.84.227
222.179.217.131
----------------------------
■SMBへのパスワードクラッキングの検知状況
----------------------------
■検知内容
アカウントとしては、administratorおよびgestアカウントなどに対して、ランダムなIPアドレスからSMBのサービスが起動しているサーバを探し出し、パスワードクラッキングしてログインしようとする試みになります。一般的にユーザがよく使われるパスワードのリストを持っていて、そのパスワードで次々にログインを試みる。推測されやすいパスワードを設定している場合は、侵入を許してしまうことになる。
読者の皆様は、以下のホスト一覧に、管理されているグローバルIPアドレスが含まれていないか確認をお願いいたします。含まれている場合は、至急ウィルススキャンなどを実施される事をお勧めいたします。
■感染ホスト
IPaddress 検知件数
24.64.123.137
24.129.149.206
59.112.212.217
60.176.130.145
61.7.148.166
61.11.105.239
61.199.94.88
82.225.121.145
83.24.93.2
83.28.229.48
83.51.163.187
83.200.169.36
84.0.27.102
84.129.227.37
85.97.200.99
85.101.120.175
85.104.7.161
86.52.188.125
125.30.10.147
165.146.5.239
193.179.41.143
200.55.48.17
200.168.100.207
200.207.144.112
200.213.167.76
201.50.62.112
202.57.116.51
202.141.30.29
202.216.52.98
210.167.68.225
211.18.196.168
211.124.22.2
213.5.25.8
213.213.86.26
218.32.104.39
218.47.23.233
218.88.212.173
218.160.45.24
218.167.180.215
218.242.243.10
----------------------------
■MessengerServiceを利用したスパムの検知状況
----------------------------
■検知内容
自宅のハニーポッドサーバに対して、マイクロソフトのMessenger Serviceを利用した、スパムメッセージを検知しました。
■送信元IPアドレス
IPaddress 検知件数
33.18.16.54
61.138.136.27
61.233.40.84
82.206.239.16
202.103.86.66
213.181.132.219
218.27.16.131
218.27.16.180
219.146.161.10
221.12.161.99
221.208.208.8
221.211.255.10
222.38.148.19
----------------------------
■CodRedワームの検知状況
----------------------------
■検知内容
自宅ハニーポッドサーバに対する。CodRedワームによる攻撃の検知状況についてお知らせします。このワームは、ランダムに選択された IP アドレスを持つコンピュータをスキャンすることによって、上述の脆弱性に未対応のシステムを探し出して拡散します。
送信元IPアドレスは、恐らくCodRedワームに感染していると思われます。
自分の管理するグローバルIPアドレスが含まれている場合は、至急ウィルススキャンを実行して下さい。
■感染ホスト
IPaddress 検知件数
なし
