[stalk:00869] Re: CodeRedII の裏口確認？

[Miharu <ensi@xxxxxxxxxxxxxxxx>]

瞠です。


CodeRedIIってscriptsところにroot.exeを作成すると理解してます。
#あれ、そーいえば、sadmind/IISでも作成されますね。

うーん例えば
　「Code Red ワームに関する情報」
　-- 新種の Code Red II に注意を -- 
　　http://www.ipa.go.jp/security/ciadr/vul/20010727codered.html
とか。


実際にCodeRedIIで作成されたバックドアに簡単にアクセスできちゃうんだみ
たいな内容の記述も８月上旬にbugtraqやincidents等でいくつか報告されてい
たように思います。
#実際に感染した端末がバックドアを持っている状態という確認ができました。
　http://www.securityfocus.com/frames/?content=/templates/archive.pike%3Fend%3D2001-08-09%26list%3D1%26mid%3D201885%26start%3D2001-08-03%26fromthread%3D0%26threads%3D0%26
　　> http://IpAddress/c/inetpub/scripts/root.exe?/c+dir
　　> (if root.exe was still there) or:
　　> http://IpAddress/c/winnt/system32/cmd.exe?/c+dir
　　> Where dir could be any command an attacker would want to execute.

上記URIには /Scripts/root.exe? なアクセス方法について書かれているわけで
はありませんが、CodeRedIIがレジストリを書き換えることにより、その他のア
クセス方法も可能になるのだろうと思います。
結論として裏口確認なのか？と言われればどうなんでしょうね、、、
少なくとも、よからぬ人による行為なのだろうと感じでしょうか。
答えになっていなくて申し訳ないです。

しかしCodeRedIIに感染していると触れ回っている状況は、とても好ましくない
状態であると感じますよね。よからぬ人は80/tcpを開けておけば、労せずして
…な状況ですから。。。



-----
話が変わりますが、メール書きながら検索していたら、ラックに
　最近のセキュリティホール
　http://www.lac.co.jp/security/intelligence/securityhole.html
なページが、、、知りませんでした。







--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
 英語サイトももう完璧っす！ 大好評ツールバー・バージョンアップです！！
　  http://toolbar.infoseek.co.jp/Tbar?pg=tbar_top.html&svx=971122