Tsurugi Linux 「SECCON版」のリリース、radare2 + Ghidra & R2DECデコンパイラーの組み込みバーション [English Translation in text] 昨年(2018年11月3日)のAVTOKYOカンファレンスで 「Tsurugi Linux」フォレンジック・ディストリビューションが日本でリリースされております。 当日のイベントで発表した時のスライドを公開し、次の日に「Tsurugiフォレンジック・ワークショップ」も行い、そして 2018年12月にもSECCONカンファレンスでTsurugi LinuxフォレンジックCTF問題の説明を行いました。その後Tsurugi Linuxが全世界の発表を回って、SANS DFIR (Prague)、HACKINBO (Rome)、「BlackHat」 (USA)とその他のイベントでも発表とトレーニング

１．はじめに *)本APT攻撃の目標をもっと知りたいなら、私の Q & A (英文)インタビュー内容をご確認ください。 ついさっき VXRL(credit)から連絡があり、あるAPTフィッシングメールのURLでマルウェアをダウンロードしているようです。URLは国内のGeocitiesさんのお客様サイトで、早く削除が欲しいとの問い合わせでした。 サンプル/証拠： ※）APT攻撃のフィッシングメールですので、ここで全てのメール情報を見せる事が出来ません。 どんなマルウェアを聞いていたら、情報が不明で、僕の方で色んなシグネチャーを確認したら検知率はゼロとの事で、これじゃマルウェアの証明が無いと多分Geocitiesさんも対応してくれないだとうと、僕の方で本件のＡＰＴ解析をしました。 この解析の結果を使ってマルウェア駆除の参考情報にしてください。 ｜APTとは？ ｜ ｜APT攻撃(標的型攻撃)とは

昨日、「MalwareMustDie」のブログで昨年10月からの SSH での TCP フォワーディングを使うハッキングの仕組みを 報告しました。 SSHでのTCPポートフォワーディングとは日本語では「SSHでのポートフォワーディング」ですね。ようは、確立している SSH 接続をトンネルとして利用し、任意の通信をトンネルを経由させて転送することで、転送先ネットワークやサーバとは、透過的な通信が可能となります。 報告内容の中にSSHでのポートフォワーディングの上でSMTP経由のハッキングの動きがあり、回数も多く、2016年10月24日から2017年2月27日の段階では 8,000件以上 の SMTP 不正なアクセスの動きを発見しました。 スクリーンショットは下記となります↓ ↑その中に74件は国内のメールサーバのＩＰを発見致しました。 報告しましたSSHでのポートフォワーディング経由SMTP

■はじめに 今回Linuxのハッキング事件のレポートを書かせて頂きます。 内容的には「Linux OS x86」、「ELFバイナリリバーシング」と「シェルコード」の絡みとなります。 この記事を読むだけでもOKですし、もし再現したい場合ASM、gccとLinuxリバーシングのノウハウが必要だと思います。環境的にLinuxのシェルですので解析は全てradare2でやりました。 取り合えず簡単に書きますので、リラックスしながら楽しくに読んで下さい。 ■ハッキングされた情報 とあるLinuxマシンに怪しいプロセスが発見されました↓ 28641 ? S 0:00 [kworker/2:0] 30514 ? S 0:00 [kworker/1:0] 30518 pts/1 S+ 0:00 [sh] 31544 ? S 0:00 [kworker/3:2] 31670 pts/1 S 0:00 nets

■はじめに 今回は新しいマルウェアにハッキングされたWordpressサイトの報告を致します。 恐らく2017年1月25日から、Wordpressで作られたウェブサイト/ブログのハッキング事件が沢山発見されております。 ハッキングされたサイトにZeus(Pony種類)若しくはVawtrakなどのマルウェアファイルを発見されています。ハッカーが古い版Wordpressソフトウェア、若しくは、プラグインの脆弱性を狙い、「/wp-content/plugins/」ダイレクトリーの下に暗号化されたPonyやVawtrakマルウェアファイルを入れていた、との状況でいくつか確認をさせて頂きました。 ハッキングされたサイト一覧の中に日本国内のwordpressサイトもあります。 ■Hancitorマルウェア感染仕組みについて 簡単にいうと、Hancitor（Chanitor / Hancitor Mal

■はじめに Linux IoTマルウェアについて、僕が書いている英語のブログ/MalwareMustDieで最近結構研究しています。色んなマルウェア種類を発見し、そのマルウェアの感染目的は殆どボットネット、DDoS、ハッキング踏み台、スパムのプロキシ、など。 一つの種類は2年前MalwareMustDieのチームで「ShellShock」の時代にはじめて発見しましたELF/DDoSトロイ「GaｙFgt/Toｒlus/LizKebab/Qｂot/Bashdoor/Bash0day/Bashlite」のマルウェアですね。名前が沢山ありますが同じ物で、「LiｚaｒdSｑuaｄ」が作ったマルウェアです。 当時僕がそのGayFgtのマルウェアをリバーシングしながらそのままでVirusTotalにレポートを書きました。その時の調査実績の証拠はこのゼロデイジャパンのブログに残しました。 今はshells

■はじめに まず、「DNSアンプ攻撃」が分からない方はこちらをご覧下さい。そしてDNS「オープンリゾルバ/Open Resolvers」についてはこちらのリンクに纏めて説明しています。 「DNSアンプ攻撃」と「オープンリゾルバ」の関係は↓ Open Resolvers pose a significant threat to the global network infrastructure by answering recursive queries for hosts outside of its domain. They are utilized in DNS Amplification attacks リファレンス： Open Resolver Project openresolverproject.org 大体４月中旬から少しずつ日本国内に悪用された「DNSアンプ攻撃」のIPレポ

#OCJP-080： 結構酷いトロイダウンローダー＋BOOTKITロック中国マルウェアをSoftBankBBネットワークに発見！ 126.15.181.20の#BOOTKITウェブサーバにマルウェアを発見しました。 サーバー：126.15.181.20/ NetBox Version 2.8 Build 4128 ポート：8080 URL: hxxp://126.15.181.20/8080/stup.exe 本件はトロイですので、感染されたら他のマルウェアをダウンロードされます。 そして、パソコンをBOOTKITのフック方法でパスワード・ロックされます。 危険ですので早めに削除して下さい。 現在もダウンロードが出来ている証拠↓ Tue Nov 6 14:37:00 JST 2012 --14:46:11-- hxxp://126.15.181.20/8080/stup.exe => `s

この投稿には慎重に扱うべきコンテンツが含まれている可能性があります。 通常、Google ではいかなるブログのコンテンツについても審査や推奨は行っておりません。Google のコンテンツ ポリシーの詳細については、Blogger の コミュニティ ガイドラインをご覧ください。 理解し、継続を希望します 続行しない

#OCJP-085： 上野アメ横公式ホームページに「CrimeBoss」感染ウール経由のバンキングトロイを発見！ 上野アメ横公式ホームページに「CrimeBoss（マルウェア感染ツール）」のマルウェア感染 リダイレクションコードのコードを発見しました。 証拠は下記となりますが、コードを早めに削除して下さい。 それとウェブサイトのログイン情報を変更し、サーバの脆弱性を直してお願いします。 上記外にあるマルウェアjavascriptを実行されます、そのjavascriptは↓ //ダウンロード証拠 --2013-01-28 19:36:16-- hxxp://abrahamspath,org.uk/cb.php Resolving abrahamspath.org.uk... seconds 0.00, 50.87.25.110 Caching abrahamspath.org.uk => 5

2013年7月17日の追加情報ですが、最新情報を先に報告させて頂きます： 本事件の原因がサイトのFTPアカウントが取られてしまいましたと確認しました。 証拠として、下記はハッキングされた時のFTPロとなります↓ [2013/07/11 21:46:54] xxxxxxxx 71.89.72.41: C="PASS (hidden)" B=- S=530 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="USER xxxxxxxx" B=- S=331 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="PASS (hidden)" B=- S=230 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="SYST" B=- S=215 [2013/07/

つい最近国内サイトが結構マルウェアコードインジェクションコードの攻撃にやられて、毎日新しい感染されたサイトも増えてきました。放っておくはうけないと思って手伝う目的で感染コードをDECODEして、証拠の為に画像キャップチャーを撮りました。今迄ツイートで１件ずつの事件を報告したので、だんだんと煩くなってきましたのでやめた。 １件ずつでコメントを書きますので、このポストに下記書きます。 １）CookieBombマルウェア感染コード： ２）Exploit Kitマルウェア感染コード： ３）CookieBombマルウェア感染コード： ４）CookieBombマルウェア感染コード： ５）CookieBombマルウェア感染コード： 本事件には感染されたサイトと転送先のサイトも日本国内のサイトですね。両帆のサイトをクリーンアップが必要です。 ６）CookieBombマルウェア感染コード： 本事件には感染さ

今日は少しずつ検索しましたので、８件を発見し、全部スナップショットを取りました。情報とコメントは下記となります。 １）CookieBombマルウェア感染インジェクションコード： ２）CookieBombマルウェア感染インジェクションコード： ３）CookieBombマルウェア感染インジェクションコード： ４）CookieBombマルウェア感染インジェクションコード： ５）CookieBombマルウェア感染インジェクションコード： ６）CookieBombマルウェア感染インジェクションコード： ７）RedKit Exploit Kitのマルウェア感染コード： ８）CookieBombマルウェア感染インジェクションコード： ※今回は新しいエンコーダーのトリックを発見、詳しくはこちら 追加です： ９）CookieBombマルウェア感染インジェクションコード： １０）IFRAME転送コード、Exp

メイン攻撃は未だ#CookieBombインジェクションですね、現在海外では４０００件ぐらいの感染されたサイトを発見されました。 インジェクションコードが未だいたずらJavaScriptですがDECODEが出来ない様にコロコロ色んな方法でかくされた、今迄は３回のパターンを発見、下記はコードのスナップショット（英語でごめんなさい） 今週末は３分の一しか感染されたサイトの画像を取れないので、取ったスナップショットは下記となります、知っているサイトがあればそのサイトオーナーにご連絡のお手伝いをお願い致します。とにかく全て感染されたサイトとそれぞれのウRLをGoogle Safe Browsingに登録しました。もしサイトを治ったらGoogleあんにご報告した方がいいと思います。では、情報はこちら： 今日だけでK-PROXで検知が出来たURL一覧はこのぐらいが出ます…（感染されたサイトが結構沢山あり

#OCJP-118：国内ウェブ感染調査：「ｙuｓn・net」と「GLAZUNOV」エクスプロイトキットのZeroAccessボットネット感染 下記のサイト/URLは hxxp://ｙuｓn・net 国内にあるウェブサイトですね。このサイトは「GAZUNOV」エクスプロイトキットのマルウェア転送コードを発見しました。 ハッカーがFTP経由からそのサイトに入り、「WP Super Cache」古いバーションの環境がいじられて、色んなPHPファイルに転送コードが書かれて、IE(Firefox,Opera,Chrome,Safariではありません)とJavaが検索エンジンからのアクセスが来ると外にあるGLAZUNOV」エクスプロイトキットのサイトへ飛ばされて、Zero Access/MaxPlus/Sirerefのボットネット・トロイに感染されます。 本事件には.htaccess、php.ini、

つい最近、新年のニュースの話題になって、「PrisonLocker/PowerLockerマルウェア」最新型の暗号機能が持っているランサムウェアの開発を発見し、海外のブログ(MalwareMustDie)に調査の結果を発表しました。 I don't think these are meant for a "common" purpose.. (pic) #PowerLocker pic.twitter.com/82WVo3rAl8 — @unixfreaxjp January 17, 2014 報告の内容はこちらとなります。その内容基づき現在亜米利加でマルウェア開発者（犯人）が捕まえたそうです。 捕まえた証拠↓ ニューズのリンクは下記となります、更新途中です↓ http://www.itmedia.co.jp/news/articles/1401/08/news038.html http: