[port139ml:02083] Re: すらまー

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

おはようございます、Port139 伊原です。

On Sun, 26 Jan 2003 01:20:31 +0900
Kanatoko <anvil@xxxxxxxxxxx> wrote:

>> さて /. の情報などからすると、(今のところ)メモリ上への
>> 感染だけみたいですからやられているかの確認にはパケット
>> キャプチャですかね。
>
>ですね。

どこで読んだか失念したのですが、すらまーは発信元アドレスを
ランダムに設定し、ランダムな宛先へ送るんですよね？

とすると、Internet への出口でキャプチャする場合、フィルタ
条件としては 1434/udp 宛のすべてをキャプチャになるかと思う
のですが、内部のどのシステムかを確認するの面倒そうですね。
＃境界ルータで IN/OUT 両方 1434/udp を drop したとして...

感染ホストと同一セグメントでキャプチャすれば MAC アドレス
から確認できるかと思いますが、ルータ等の先って？

MSDE って感染対象でしたっけ？ CodeRed の時みたいに個人の
ノート PC に感染して内部へ持ち込まれるケースがあるような
気がしているのですがどなんでしょ？

-- 
Port139 セミナー 次回(大阪会場)は 3月14日開催予定
Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/