セキ研コミュのクラッカーを逆探知する事

色な（独逸語の）ニュースで「クラッカー攻勢」について読みました。ウェッブページ１１万以上はクラッキングされました。アタッカーは後でIframeを植え込みました。あのIframeは64.38.33.13からエキスプロイトをロードします。（WindowsXPにある盲点のエキスプロイトです）

アンティーウイルスソフトを作る会社のお薦めは何でしょうか？Aviraにとって「ファイアーヲールで64.38.33.13を封鎖する」って言うことです。
でも本当にそんなに危ないですか？
昨日儕輩と一緒にあのサーバーのチェックしました。
64.38.33.13はプロクシーサーバーのIPですから所有者の名前がありません。
でもサーバーの色なニュースがあります。
サービス１５０つぐらいがあります。二つ（ポート８０と８０８０）はHTTPdです。そちらからエキスプロイトIframeをロードするそうだと思います。
他のサービスの半分ぐらいはIRCサーバーです。Botnetにとって普通です。IRCでボットの舵を取る事はやさしいです。
でも他のポートを全然分かりません。
amapはリサルトがありませんでしたからNetCatで探しました。アウトプットが全然ありません。サービスはインプットを読みますそしてあとでコンエキションを終わります。

誰かそんなサービスの見た事がありますか？（例えば64.38.33.13：42）多分ライセンスやパッスワードを強奪するサービスだと思います。

コメント(1)

最初
全て
最新の40件

[1] mixiユーザー 06月25日 22:19

宣伝を見ないとファイルがダウンロードできないサイトがありますよね。

これは私の推理ですが、64.38.33.13はボット候補なのかどうかをHTTPdで審査したするのではないかと思います。

HTTPdのログを見れば
・どこのサイトから
・どのOSで
・何のブラウザで来たのか
ということが分かりますし、そこから判断してHTTPdから直接exploitを読み込ませたのかも知れない。

また、
>でも他のポートを全然分かりません。
と言われていた話ですが、
世羽さんがボット候補として、64.38.33.13のHTTPdに対して"なりすます"手続きを踏まえて接続すれば、
HTTPdのログを参照して何か違う反応が来る可能性が考えられます。

ログインすると、みんなのコメントがもっと見れるよ