[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[plamo:10207] Re: named運用時に作成される怪しいファイルについて

Linux Seminar で cracker の話をお願いした真鍋さんに尋ねてみたら，こう
いう返事をいただきました．

# 腹だたしいでしょうが，使われたツールやログの類いを保存しておけば，他
# の人の参考になることもあります．

From: manabe@dsl.gr.jp
Subject: Re: [plamo:10198] named運用時に作成される怪しいファイルについて
Date: Sat, 16 Jun 2001 08:31:40 +0900
Message-ID: <20010616083140U.manabe@dsl.gr.jp>

> こんにちは、真鍋です。
> 
> まず間違いなく crack です。
> 
> From: Kenyu Kawamoto <kenyu_k@f6.dion.ne.jp>
> Subject: [plamo:10198] named運用時に作成される怪しいファイルについて
> Date: Sat, 16 Jun 2001 00:22:03 +0900
> 
> > namedを運用しようと、DNS-HOWTOを見ながらとりあえずの設定で
> > 運転をはじめたところ、マシンが非常に遅くなったので
> > psコマンドを実行したところ、身に覚えのない
> > ccやら、.installなどが実行されていました。
> 
> named を運用開始して、どの程度のタイミングでこういう状態になったの
> かにもよりますが、BIND のバージョンが 8.2.2P5 以前のものであれば、
> named が侵入経路である可能性は高いでしょう。
> 
> > これは、まともな動作じゃないですよね？
> > とりあえず、今日は常時接続を解除して定期的にこのMLをチェックしよう
> > と思います。
> 
> root kit を放り込まれているので、このまま運用するのはどのような
> 形態であれ、お勧めできません。
> 損害を最小限に抑えるためにも早い時期に再インストールする方が
> 良いでしょう。ただし、再インストール後のシステムに適切な処置を施す
> ために侵入経路等をしぼりこんでおくことも御忘れなく。
> 
> 私はこの root kit は御初です。ssh や wpe 等のパーツは一般的な
> ものですが、.install スクリプトの内容がちょっと見掛けないもの
> ですので。もしかしたら、比較的新手のものなのかも知れません。
> 
> /var/named ディレクトリ以下や、/var/log 以下のログファイル等は
> ラップして冷凍保存しておいて後々解析を行うのも楽しいですよ :-)
> 
> 個人的にご連絡いただければ、調査に関して多少お手伝いできることが
> あるかも知れません。
>  ----- manabe@dsl.gr.jp.
>
Follow-Ups
[plamo:10208] Re: named運用時に作成される怪しいファイルについて, Kenyu Kawamoto
[plamo:10210] Re: named運用時に作成される怪しいファイルについて, HIGUCHI Chihiro
[plamo:10221] Re: RootKit(Re:named運用時に作成される怪しいファイルについて), yamaguch
References
[plamo:10198] named運用時に作成される怪しいファイルについて, Kenyu Kawamoto
[検索ページ] [メール一覧]
Plamo ML 公開システム