[connect24h:02219] BIND worm （ LION ）

[hamamoto <r00t@xxxxxxxxxxx>]

はまもとです。

ちょっと、情報的には出遅れた感がありますが、LION君がまたもやってくれた
ようですねぇ。

●BIND のセキュリティホールをついたワームが登場
http://japan.internet.com/webtech/20010324/12.html

●Linuxを標的とした新たなウイルス「Lion」
http://www.zdnet.co.jp/news/0103/24/b_0323_01.html?1a03010410
Lionの動作の詳しい報告が出ています。

Cobaltのメーリングリストで被害報告が出ています。（Cobaltのメーリングリスト
ですが、やられたのはDebian 系のようです）くわしくは、
『[coba-d:02687] またもアタック？』からのスレッドを見てください。
「Lionfindを実行したためにLionに感染したかも」（Lionfindを実行する前に、入
られていたらしい）など、なかなか面白いスレッドです。
http://www.cobaltqube.org/ml/archive/coba-d/20010325.week/thread.html

被害被害にあわれた方の報告ですと、
・ホームページを、「Kill all Japanease」に書き換え。
・inetd系のtelnet、ftp すべて閉じられ、無効化
・内部コマンドは実行可能で、怪しいファイル/dev/.lib/ というのがあった
だそうです。


【関連情報】
○BIND worm.
http://www.securityfocus.com/archive/75/170684

○BIND8 の電子署名 (TSIG) 処理コードに見つか った脆弱性
http://japan.internet.com/webtech/20010130/8.html

○MSサイトの悪夢は他人事ではない――DNSソフトに4つのセキュリティホール
http://www.zdnet.co.jp/news/0101/30/e_dns.html

○Lionfind 
http://www.sans.org/y2k/lionfind-0.1.tar.gz
BIND WORMを発見するツール
このツールの解説URL
http://www.ists.dartmouth.edu/IRIA/knowledge_base/tools/lionfind.htm
http://www.sans.org/y2k/lion.htm


+---------------------------------------------------------------------
| はまもと
| ■常時接続の宴（インターネット常時接続ニュースサイト）
| http://cn24h.hawkeye.ac/
| ■24 時間常時接続メーリングリスト開催中
| http://cn24h.hawkeye.ac/connect24h.html
| ■セカンダリDNS互助会
| http://cn24h.hawkeye.ac/dns.html 
+----------------------------------------------------------------------


------------------------------------------------------------------------
　 インフォシーク★オススメお花見スポット＆全国各地の桜開花情報！
 http://www.infoseek.co.jp/Playspot?pg=playspot_top.html&svx=971122