#OCJP-126: マルウェア調査：Potukorp.A、中国の銀行トロイ＠KDDI（DION）ダイアルアップネットワーク *) English explanation is--> here 本日、日本国内ネットワークに中国銀行トロイを発見しました↓ ネットワークは日本国内のDIONですね↓ こんなハッシュ↓ Sample : ./str.exe MD5 : cba7742b3016aa4aa037a191ea93b4e6 SHA256 : 9b3ec0f9a079a1954dbadbe6a0f5ac0a628732748c46f04bbe014b22a91e42ec URL : https://www.virustotal.com/latest-scan/9b3ec0f9a079a1954dbadbe6a0f5ac0a628732748c46f04bbe014b22a91e42ec そ

実は本件の報告は下記のツイートした時にやっていました↓ GMOクラウドのホストが #webハッキング事件 にやられていますね（写真） IRC Perl/Bot (Shell-Backdoor) pic.twitter.com/OqsKeWhNNE — Hendrik ADRIAN (@unixfreaxjp) February 12, 2014 今日仕事＠電車の移動でパート確認したら、ハッキングツールが未だ残っていて、さらに、つい最近OpenSSHも入れられたそうです。今日迄そろそろ１０日間立ちますが管理者は全然未だ気づいて無いみたいですね…では、ここで報告しますよ。 今回さくっとビデオを撮ります↓見ながら以下の説明をご覧下さい。 マルウェア的にツイートしたの物はPerl/IRC-Botで、ハッキングツールです。種類はトロイ・バックドアですね。 色んな機能を持ち、HTTPプロキシ機能、IR

AV TOKYO 2013.5のイベントに「マルウェア・ボットネットを止めたいなら…犯罪者を捜して警察に連れて行こう！」のプレゼンテーションをやりました。 聞いてくれた皆さんに有難う御座いました。 プレセンテーションのビデオは下記となります、警察の調査協力の為、沢山カットが入っていますので、ご了承下さい。 なお、日本国内の警察庁サイバーテロチームにも報告しました。 報告書の詳細情報につきましては、MalwareMustDieのPress Releaseで発表をさせて頂きます。 #AVTokyo で発表した、0day.jpと#MalwareMustDie が調査した「Kelihos/CookieBomb/RedKit/スパムboss」の犯人の(alias)ID（ロシアの方/一人）を 警察庁サイバーテロに今日報告しました。ご対応をお願い致します。@Police 頑張れ！ — H@unixfre

つい最近、新年のニュースの話題になって、「PrisonLocker/PowerLockerマルウェア」最新型の暗号機能が持っているランサムウェアの開発を発見し、海外のブログ(MalwareMustDie)に調査の結果を発表しました。 I don't think these are meant for a "common" purpose.. (pic) #PowerLocker pic.twitter.com/82WVo3rAl8 — @unixfreaxjp January 17, 2014 報告の内容はこちらとなります。その内容基づき現在亜米利加でマルウェア開発者（犯人）が捕まえたそうです。 捕まえた証拠↓ ニューズのリンクは下記となります、更新途中です↓ http://www.itmedia.co.jp/news/articles/1401/08/news038.html http:

#OCJP-119：日本国内マルウェア感染緊急警告：現時点複数マシン/IP(現在合計：３３件 + 最新28件)に「KELIHOS」マルウェアが散蒔かれています。直にブロックして、クリーンアップ対応をお願いします 緊急国内のマルウェア感染警告です。 下記の日本国内マシン、IPアドレスは： 117.74.46.13|Japan|TDNC Community Network Center Inc.|AS9354 218.110.111.80|Japan|SO-NET So-net Entertainment Corporation|AS2527 111.67.162.60|Japan|HANSHIN ITEC HANKYU HANSHIN CO.,LTD.|AS7524 210.148.165.67|Japan|IIJ Internet Initiative Japan Inc.|AS2497

#OCJP-120：「Kelihos」ボットネットP2Pマルウェアに１０１件感染された国内IPを発見しました。 本日付に私達のチーム「MalwareMustDie」は、Kelihosマルウェアが提供しているDNSサービスとドメインを潰しました。合計は２００＋以降.RUドメイン感染ボットネットIPとマルウェアが使われている３３件.COM経由のNSサーバとそれおれのドメインです。その件については詳しい情報がこちらへご覧下さい。 作業の上、日本国内感染ユニークIPアドレスがボットネットのトラフィックの中に沢山発見し、正式な報告としてこのブログにやらせて頂きます。 全体的な感染情報を見たら国内の感染パーセンテージ的には３％となります： graph by Chris J Wilson - #MalwareMustDie, NPO. 感染の数的には１０１件です： それぞれの国のデータを分散したら下記の

#OCJP-118：国内ウェブ感染調査：「ｙuｓn・net」と「GLAZUNOV」エクスプロイトキットのZeroAccessボットネット感染 下記のサイト/URLは hxxp://ｙuｓn・net 国内にあるウェブサイトですね。このサイトは「GAZUNOV」エクスプロイトキットのマルウェア転送コードを発見しました。 ハッカーがFTP経由からそのサイトに入り、「WP Super Cache」古いバーションの環境がいじられて、色んなPHPファイルに転送コードが書かれて、IE(Firefox,Opera,Chrome,Safariではありません)とJavaが検索エンジンからのアクセスが来ると外にあるGLAZUNOV」エクスプロイトキットのサイトへ飛ばされて、Zero Access/MaxPlus/Sirerefのボットネット・トロイに感染されます。 本事件には.htaccess、php.ini、

メイン攻撃は未だ#CookieBombインジェクションですね、現在海外では４０００件ぐらいの感染されたサイトを発見されました。 インジェクションコードが未だいたずらJavaScriptですがDECODEが出来ない様にコロコロ色んな方法でかくされた、今迄は３回のパターンを発見、下記はコードのスナップショット（英語でごめんなさい） 今週末は３分の一しか感染されたサイトの画像を取れないので、取ったスナップショットは下記となります、知っているサイトがあればそのサイトオーナーにご連絡のお手伝いをお願い致します。とにかく全て感染されたサイトとそれぞれのウRLをGoogle Safe Browsingに登録しました。もしサイトを治ったらGoogleあんにご報告した方がいいと思います。では、情報はこちら： 今日だけでK-PROXで検知が出来たURL一覧はこのぐらいが出ます…（感染されたサイトが結構沢山あり

つい最近国内サイトが結構マルウェアコードインジェクションコードの攻撃にやられて、毎日新しい感染されたサイトも増えてきました。放っておくはうけないと思って手伝う目的で感染コードをDECODEして、証拠の為に画像キャップチャーを撮りました。今迄ツイートで１件ずつの事件を報告したので、だんだんと煩くなってきましたのでやめた。 １件ずつでコメントを書きますので、このポストに下記書きます。 １）CookieBombマルウェア感染コード： ２）Exploit Kitマルウェア感染コード： ３）CookieBombマルウェア感染コード： ４）CookieBombマルウェア感染コード： ５）CookieBombマルウェア感染コード： 本事件には感染されたサイトと転送先のサイトも日本国内のサイトですね。両帆のサイトをクリーンアップが必要です。 ６）CookieBombマルウェア感染コード： 本事件には感染さ

今日は少しずつ検索しましたので、８件を発見し、全部スナップショットを取りました。情報とコメントは下記となります。 １）CookieBombマルウェア感染インジェクションコード： ２）CookieBombマルウェア感染インジェクションコード： ３）CookieBombマルウェア感染インジェクションコード： ４）CookieBombマルウェア感染インジェクションコード： ５）CookieBombマルウェア感染インジェクションコード： ６）CookieBombマルウェア感染インジェクションコード： ７）RedKit Exploit Kitのマルウェア感染コード： ８）CookieBombマルウェア感染インジェクションコード： ※今回は新しいエンコーダーのトリックを発見、詳しくはこちら 追加です： ９）CookieBombマルウェア感染インジェクションコード： １０）IFRAME転送コード、Exp

今日RedKit Exploit Kitに感染された国内ウェブサイトを発見しました、例えば： 臍帯血ナビのサイト（saitai-navi,com）にRedKitマルウェア転送コードに発見しました。（証拠：写真）< コードを消して、サイトのセキュリティをチェックして方がいいと思います（おそらく管理ログイン情報漏れ） pic.twitter.com/WxckAUxeeu — (@unixfreaxjp) July 16, 2013 家庭教師情報ナビのサイト（katekyo-joho,com）にRedKit EKのマルウェア転送コードを発見。（証拠：写真）< コードを消して、サイトのセキュリティをチェックして方がいいと思います（おそらく管理ログイン情報漏れ） pic.twitter.com/On4r8UJNOb — (@unixfreaxjp) July 16, 2013 またRedKitの感染

#OCJP-111：オルガノゴールド コーヒーサイトが隠されたマルウェアIFRAME転送コードに感染されました。 前回のポストと同じ事件で、今回オルガノゴールド コーヒーの日本のサイトが隠されたIFRAME転送コードにやられました。 感染されたURLは下記の一覧です↓ hxxp://organogold.sub.jp/ hxxp://organogold.sub.jp/index.html hxxp://organogold.sub.jp/business.html hxxp://organogold.sub.jp/plan.html hxxp://organogold.sub.jp/products.html トップページのスクリーンショットは下記の画像で↓ この報告には、トップページのURLだけをダウンロードしました↓ //接続… --2013-07-14 15:13:56-- hxx

本日の日付、下記のサイトに「RedKit Exploit Kit」の感染転送動きを発見し、確認しました↓ hxxp://www.occh.or.jp/ 当時、下記のサイトも「RedKit Exploit」感染受け側の動きを発見し、確認しました↓ hxxp://takaradukakanban.ciao.jp/vcolrvf.php hxxp://sunatable.sunnyday.jp/nbwqrnw.php hxxp://8014d74c3f5c9f62.lolipop.jp/qqovfdp.php hxxp://324c888c03da2c5.lolipop.jp/rsarctj.php hxxp://trustwork.co.jp/esd.php [CLEAN 404] hxxp://mf3japan.jp/psikcqs.php hxxp://katagi-weblogs.lol

2013年7月17日の追加情報ですが、最新情報を先に報告させて頂きます： 本事件の原因がサイトのFTPアカウントが取られてしまいましたと確認しました。 証拠として、下記はハッキングされた時のFTPロとなります↓ [2013/07/11 21:46:54] xxxxxxxx 71.89.72.41: C="PASS (hidden)" B=- S=530 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="USER xxxxxxxx" B=- S=331 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="PASS (hidden)" B=- S=230 [2013/07/11 21:46:55] xxxxxxxx 83.138.146.85: C="SYST" B=- S=215 [2013/07/

#OCJP-107： 「worldreporter.jica.go.jp」のSQLi脆弱性でデータベースのアクセスがバレちゃった… 本日ハッカーのサイトで「worldreporter.jica.go.jp」のSQLi脆弱性を発見しました。 書いた情報を読むと既にデータベースのアクセス情報迄バレたそうです。 ハッキングの原因は↓ sqli over $_GET↑をバイパスされましたそうで、PHPコードを作り直す必要があります。 確認しましたら確かにSQLi脆弱性が今も未だ残っています↓ 2013年7月7日午後の１４：４１JSTのスナップショット（報告してから立った二日間） ↑書いた様にこれでデータベース迄アクセスされる可能性も出ますね… jica.go.jpダイレクトに本件の事件について自然に報告しましたので…無視されました… 【ハッキング警告】 @jica_direct あなたのサイトがハ

最近国内のウェブサイトのトップページに変な転送コードが多いですね… 下記の3件はピックアップしたのリアルな調査した事件ですので、参考になるかと思います。 （１）サイト：home.384.jp/zcbeyduz/ (転送先はblackhole感染) このサイトにアクセスしたら下記のウェブ画像が出ましたが↓ 全てHTTPやり取りトラフィックを取ると変な動きを発見されます↓ 別のIPにHTTPリクエストが飛びますね。httpのトラフィックを確認しましょう↓ ↑最初のリクエストしたの回答の中にマルウェア転送コードがありますね。 明確にはindex.htmlの中にそのコードを発見しました。 decode（クラック）すると↓ ↑なるほど、ハッカーがオリジナルindex.htmlを取って、書き換えてまたアップロードしました、と分かりました。転送先のURLを見たらBlackhole Exploit Kit