[地環研前の雪だるま]
(2009-02-23 13:13) ネットワークチームです。 久保先生が管理者として登録されています端末 IPアドレス：133.50.217.249 MACアドレス：00:A0:B0:3C:0F:6A 機種名：router box 設置場所：A802 より、学外の不特定多数IPアドレス445番ポートに対して、 短時間に多量の不正アクセスを行っているのを検知しました。 意図されていないアクセスの場合、当該端末がウィルス・ワーム・ マルウェアなどに感染、またはrootkitが組み込まれた可能性があります。 お手数ですが端末のご確認をお願い致します。そしてなぜかこういうときだけは迅速に止められた．
(2009-02-23 14:04) ネットワークチームです。 現在、学外への445番ポートに対する通信が検出され続けていますので、 影響を考えまして通信を停止しましたのでご了解ください。
プロトコル ポート番号 サービス名 コメント TCP,UDP 135 epmap RPCに使用 TCP,UDP 137 netbios-ns コンピュータ名の名前解決に使用 TCP,UDP 138 netbios-dgm コンピュータの一覧表示に使用 TCP 139 netbios-ssn ファイル、プリンタ共有に使用 TCP,UDP 445 microsoft-ds ダイレクトホスティングSMBサービスなるほど 445 番もとうぜんのごとくに含まれています． えーい， こういうゐんどーづ関係のポートはふさいでおく必要があったんだな． ともかくルータの設定．
tcpdump -nn
して他の host の 445 番ポートに大量不正アクセスしている流れをさがす
……
A802 室で あっさり
みつかった．
LAN 内 IP アドレス
192.168.1.149
だ．
やはり院生の PC だった．
下の
log
を見ればわかるように，
乱数をつかって「近傍」らしき IP アドレスを生成して，
なんとかもぐりこもうと努力している
……
効率わるいというべきなのだが，
これであっさり感染してしまう院生もいるわけで．
11:59:35.015672 IP 192.168.1.149.27181 > 192.168.59.208.445: S 1688427587:1688427587(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.015876 IP 192.168.1.149.27180 > 192.168.59.207.445: S 1927696528:1927696528(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.016765 IP 192.168.1.149.27182 > 192.168.59.209.445: S 3167003295:3167003295(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.017949 IP 192.168.1.149.27183 > 192.168.59.210.445: S 1402010468:1402010468(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.018161 IP 192.168.1.149.27184 > 192.168.59.211.445: S 1871805862:1871805862(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.018369 IP 192.168.1.149.27185 > 192.168.59.212.445: S 2931914747:2931914747(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK> 11:59:35.018562 IP 192.168.1.149.27186 > 192.168.59.213.445: S 3740762442:3740762442(0) win 65535 <mss 1460,nop,wscale 2,nop,nop,sackOK>
久保 拓弥様が管理者となっている下記端末 IPアドレス 133.50.217.249 MACアドレス 00A0B03C0F6A ハブポート G22AC/01 （登録上のものです） 機種名 router box （登録上のものです） 設置場所 A802 （登録上のものです） から、11:49-11:50の間に約540通のランダムな 送受信者アドレスを持つメールが送信されました。 ウィルス等の不正プログラムの感染が懸念されますので、 当該端末からのメールの送信を一部禁止させていただきました。一分間に 540 通とはウィルス君もなかなかがんばりますな．
tcpdump
log を調べてみると，
たしかに先ほど特定した感染マシン
192.168.1.149
から学外の 25 番ポート (SMTP)
に大量メイル送信らしきことをやっておりますな．
つまりメイルソフトウェアを暴走させているわけではなく，
学外の SMTP server (IP アドレスを調べると hotmail など)
に直接接続してメイルを送らせようとしているわけで
……
11:59:35.003877 IP 192.168.1.149.27177 > 65.54.245.72.25: . ack 89 win 32725 11:59:35.004052 IP 192.168.1.149.27177 > 65.54.245.72.25: F 7:7(0) ack 89 win 32725 11:59:35.004989 IP 65.54.245.72.25 > 192.168.1.149.27177: . ack 8 win 1460 11:59:35.015352 IP 192.168.1.149.27178 > 208.36.123.235.25: P 17:49(32) ack 34 win 32749 11:59:35.016949 IP 208.36.123.235.25 > 192.168.1.149.27178: P 34:42(8) ack 49 win 1460 11:59:35.017688 IP 192.168.1.149.27178 > 208.36.123.235.25: P 49:81(32) ack 42 win 32747
c:\WINDOWS\explorer.exe
でこれが動かないためにフォルダだの
「スタートボタン」だのも表示されない，
という状況．
msconfig)
もダメか
……
c:\WINDOWS\explorer.exe
(これはちゃんと存在する)
のタスク強制起動で
「'explorer.exe' が見つかりません」
という警告があまりにも奇妙なものである
……
とよーやく気づいたので，
これを手がかりに
検索
してみると
……
やはりウィルスの悪影響のひとつでレジストリが書き換えられてたらしい，
とわかった．
こちら
で紹介されている対策，
regedit
で HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe
の Debugger = "c:\Program Files\Microsoft Common\wuauclt.exe"
を削除して「既定」だけのこすと，
c:\WINDOWS\explorer.exe
が起動するようになった．
やれやれ．
ゐんどーづってどうしようもないね
……
Trojan Horse Trojan.Donbot Backdoor.Trojan Trojan.Donbut Trojan Horse Trackware.SAHAgentといった Symantec が勝手につけてる総称らしきもので， これで具体的なウィルス名まではわからん． 上のレジストリ書き換えという症状は， Trendmicro によると TROJ_AGENT.AWVZ ってコトになるらしいんだけど ……
tcpdump
で確認して徒労感大の作業を終了．
ばてばて．
イヤになるなあ．
1950 研究室発．
雪．
買いもの．
2015 帰宅．
体重 71.6 kg．
不健康ふとりぎみだな．
晩飯の準備．
晩飯．
