#OCJP-136: 「FHAPPI」 Geocities.jpとPoison Ivy(スパイウェア)のAPT事件
Please click here to read the translation in English, translated by the El Kentaro １．はじめに *)本APT攻撃の目標をもっと知りたいなら、私の Q & A (英文)インタビュー内容をご確認ください。 ついさっき...
View Article#OCJP-135: SSH TCP ポートフォワーディング経由でのSMTP(とHTTP)ハッキング事件について
昨日、「MalwareMustDie」のブログで昨年10月からの SSH での TCP フォワーディングを使うハッキングの仕組みを 報告しました。 SSHでのTCPポートフォワーディングとは日本語では「SSHでのポートフォワーディング」ですね。ようは、確立している SSH...
View Article#OCJP-134: ダブル「sh」ELFのリバーシング （Linuxハッキング事件調査）
■はじめに 今回Linuxのハッキング事件のレポートを書かせて頂きます。 内容的には「Linux OS x86」、「ELFバイナリリバーシング」と「シェルコード」の絡みとなります。 この記事を読むだけでもOKですし、もし再現したい場合ASM、gccとLinuxリバーシングのノウハウが必要だと思います。環境的にLinuxのシェルですので解析は全てradare2でやりました。...
View Article#OCJP-133: Hancitorマルウェア感染 と ハッキングされたWordpress
■はじめに 今回は新しいマルウェアにハッキングされたWordpressサイトの報告を致します。 恐らく2017年1月25日から、Wordpressで作られたウェブサイト/ブログのハッキング事件が沢山発見されております。...
View Article#OCJP-132: Linux IoTのマルウェア、国内の感染について
■はじめに Linux IoTマルウェアについて、僕が書いている英語のブログ/MalwareMustDieで最近結構研究しています。色んなマルウェア種類を発見し、そのマルウェアの感染目的は殆どボットネット、DDoS、ハッキング踏み台、スパムのプロキシ、など。...
View Article#OCJP-131: 日本国内で悪用された「DNSアンプ攻撃」について
■はじめに まず、「DNSアンプ攻撃」が分からない方はこちらをご覧下さい。そしてDNS「オープンリゾルバ/Open Resolvers」についてはこちらのリンクに纏めて説明しています。 「DNSアンプ攻撃」と「オープンリゾルバ」の関係は↓ Open Resolvers pose a significant threat to the global network infrastructure by...
View Article#OCJP-130: スパムボットに感染されたPCからのスパムメール(マルウェアurl)
昨日このスパムメールが届きました そのメールを見たら、あれ？「JCOM」って「ZAQ.ne.jp」だっけ?とても怪しい… さらに内容も英文で、そして海外のマルウェア転送URLが書いてあります… ヘッターはこんな感じ↓ メールのルーティングと MessageID＜201607041021.u64AKeew025468@po.dcn.ne.jp＞...
View ArticleLockyランサムウェア: インフェックション仕組みのモニタリング・レコード
「カムバック」してからのLockyランサムウェアの感染をフォローし、ディストリビューション仕組みのデータをレコードしました。レコードしたのデータは日本国内に届いたスパムメールのみです。 レコードの目的は(1)ウェブサイトのハッキング攻撃モニター、(2)CNCの移動情報、(3)使われているスパムボットネットの動き、と、(4)LockyのDGAのモニター...
View Article#OCJP-129: Lockyランサムウェアの感染 via 日本国内のハッキングされたウェブサイト
昨日から始まり、日本国内のウェブサイトがハッキングされ、そしてそのサイトにLockyランサムウェアのバイナリーを発見しました。いくつか証拠をオンラインで見たら狙われている脆弱性がばらばらで、恐らくハッカーはウェブ脆弱性スキャナーを使ったと考えています。 Lockyランサムウェアの最終感染キャンペーンで日本ウェブサイトからの感染URLが現在2番目となります↓ 最新情報の更新＞...
View Articleマルウェアサンプルを送りたい場合
0day.jp又はMalwareMustDieに匿名でマルウェアのサンプルを送りたいだったら【このリンク】から「ファイル送る便」のアクセスが出来ます。「ファイル送る便」ページから私達にマルウェアサンプルを送る事が出来ます。 ページの画像は下記のようになっております↓ アップロードの手順が書いてあります。手順通りで作成をさせて頂ければ私達の調査サーバ迄にファイルが届きます。...
View Article【警告】ランサムウェアによるウェブサイトの暗号化
現在グーグルで検索したら６，０００以上のウェブサイトがLinuxランサムウェアに感染されたそうです。 今すぐにウェブサイトのデータをバックアップして下さい。
View ArticleELF Linuxランサムウェア：復号機能の解析メモ #reversing
《 ELFマルウェアワークショップの方々へ 》 AVTOKYO-2015でELFマルウェアワークショップ「Swimming in the Sea of ELF」を開催しました。来てくれた皆さんに有難う御座いました。丁度最近Linuxランサムウェアが流行ったので、ワークショップ上でunix...
View Article【イベント】 ELFマルウェア解析ワークショップ - AVTOKYO 2015
平成27年11月14日の16時半から「AVTOKYO 2015」のイベントでＥＬＦマルウェア解析ワークショップを開きました。ＥＬＦバイナリーについてのマルウェアの調査・解析の話ばかりなのでワークショップのタイトルは「Swimming in the Sea of...
View Article#OCJP-128: ロシア系マルウェアボットネットのカムバック
以前の0day.jp記事にも日本国内に対して「Kelihosマルウェア・ボットネット」の感染を報告しましたが 今回このロシア系マルウェア感染ボットネットが「カムバック」しましたので、 今日我々「MalwareMustDie」が12時間モニターしたら、日本国内の感染IP11件を発見しました。...
View Article#OCJP-127: 「Shellshock」攻撃事件、日本国内40件以上の感染、Perlバックドアshellbotマルウェア
「Shellshock」攻撃が未だ沢山発見し、その攻撃からマルウェアに感染されたマシンも多いです。 本事件はその事件の報告ですので、本事件に感染されたマルウェアが多くて、 IRの対応参考情報と国内セキュリティの注意点為このブログに書きました。 ついさっき下記のshellshock攻撃が来ました↓ フルログはこちら⇒【pastebin】 「Shellshock」攻撃元のIP↓ { "ip":...
View Article【研究情報】 KINS v2 = ZeusVM v2だぞ
先週末にやった事、KINS/ZeusVM 2.0.0.0マルウェアビルダー＋パネルコードがリークされ、全世界に警告を流しました。 KINS1とKINS2のバイナリー形が全然違うし、分析したらマルウェアの機能も違うので、 どう見てもZeusVM++っぽいと考えています。...
View Article「Linux/AES.DDoS」ＭＩＰＳ/ARMルーターマルウェア感染攻撃
日本国内の某ルーターに下記のsshログイン攻撃が沢山来ました↓ [attacker: 61.139.5.22] [2015-07-03 02:54:44]: New connection: 61.139.5.22:63692 [attacker: 61.139.5.22] [2015-07-03 02:54:54]: Connection lost [attacker: 61.139.5.22]...
View Article【研究情報】暗号化されているマルウェアデータが何とかPythonで…
ElasticsearchのCVE-2015-1427脆弱性を狙っているマルウェアの調査をしました、書いたレポートは下記のＵＲＬに確認が出来ます。この記事の参考として後でご覧下さい↓ http://blog.malwaremustdie.org/2015/06/mmd-0034-2015-new-elf.html...
View Article【警告】 Linux/Xor.DDoSマルウェアの感染
下記のＩＰアドレスから↓ 104.143.5.15||36114 | 104.143.0.0/20 | VERSAWEB-ASN | US | versaweb.com | Versaweb LLC 107.182.141.40|40-141-182-107-static.reverse.queryfoundry.net.|62638 | 107.182.140.0/23 |...
View Article【警告】新規Linux/Mayhemマルウェアの感染
下記のＩＰアドレスからLinux/Mayhemマルウェアの感染動きを発見、wordpressのサイトが狙われています。...
View Article
