[stalk:00708] Re: CodeRedWorm

[MICKY <micky@xxxxxxxxx>]

犬のみっきーです。


[stalk:00688] 瞠さん
> 1250/tcp,1251/tcp,1252/tcpのように連続したTCPポートでLISTENINGの状態が
> 数百以上存在していたそうです。


昨日CodeRedに攻撃を喰らったNT(感染無し)があったので、もしやと思って
調べてみました。数百までは行かないものの、Listenポートが何故か増え
てます。

リブートしたら元に戻りましたけど。どういう事なんでしょう？>wizard
な方

TCP  0.0.0.0:1027   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1028   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1029   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1031   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1034   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1035   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1038   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1039   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1040   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1047   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1048   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1049   0.0.0.0:0  LISTENING
TCP  0.0.0.0:1050   0.0.0.0:0  LISTENING

92  msdtc    ->  1027  TCP C:\WINNT\System32\msdtc.exe
82  RpcSs    ->  1029  TCP C:\WINNT\system32\RpcSs.exe
284 MSTask   ->  1030  TCP C:\WINNT\system32\MSTask.exe
284 MSTask   ->  1031  TCP C:\WINNT\system32\MSTask.exe
331 win32sl  ->  1033  TCP C:\DMI\WIN32\bin\win32sl.exe
331 win32sl  ->  1034  TCP C:\DMI\WIN32\bin\win32sl.exe
338 inetinfo ->  1037  TCP C:\WINNT\System32\inetsrv\inetinfo.exe
338 inetinfo ->  1038  TCP C:\WINNT\System32\inetsrv\inetinfo.exe
331 win32sl  ->  1039  TCP C:\DMI\WIN32\bin\win32sl.exe
331 win32sl  ->  1040  TCP C:\DMI\WIN32\bin\win32sl.exe
116 AMVMAIN  ->  1046  TCP C:\ESM\AlertMan\PROGRAM\AMVMAIN.EXE
116 AMVMAIN  ->  1047  TCP C:\ESM\AlertMan\PROGRAM\AMVMAIN.EXE
116 AMVMAIN  ->  1049  TCP C:\ESM\AlertMan\PROGRAM\AMVMAIN.EXE
116 AMVMAIN  ->  1050  TCP C:\ESM\AlertMan\PROGRAM\AMVMAIN.EXE

>----- みっきーのネットワーク研究所 -----<
>  http://www.hawkeye.ac/micky           <
>  所長：犬のみっきー <micky@xxxxxxxxx>  <
>----------------------------------------<

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　インフォシークに　『ファンドランキング』登場！！　ってなに？　　　
　　　　　 http://fund.infoseek.co.jp/Rfund_top.cfm?svx=971122