[stalk:00735] Re: new Worm?

[Shin SHIRAHATA <shin@xxxxxxxxxx>]

しらはたです。

> > 667ホストのうち、23ホストは203以外で始まるIPアドレスブロックから
> > アクセスがありました。Netcraftで調べると、ほとんどはWindows 2000
> > からようです。
> 
> 調べられた23ホストのhttp access log はXXXでしたか？

はい。XXX...タイプでした。

ただ、アクセス元のサイトでMS ISA-Serverなどを動かしていて、トランス
ペアレント・プロキシをやっていて、本当にやられたマシンは同じクラスAの
アドレスブロックにあるというケースも考られますが..。

[**] WEB-IIS ISAPI .ida attempt [**]
08/05-11:39:07.569233 0:1:64:A3:EC:40 -> 0:A0:CC:73:38:89 type:0x800 len:0x236
61.144.175.118:2714 -> 203.178.*.*:80 TCP TTL:110 TOS:0x0 ID:57230
IpLen:20 D
gmLen:552 DF
***A**** Seq: 0x7045C9A  Ack: 0x346BD1BE  Win: 0x4000  TcpLen: 20
47 45 54 20 2F 64 65 66 61 75 6C 74 2E 69 64 61  GET /default.ida
3F 58 58 58 58 58 58 58 58 58 58 58 58 58 58 58  ?XXXXXXXXXXXXXXX
58 58 58 58 58 58 58 58 58 58 58 58 58 58 58 58  XXXXXXXXXXXXXXXX

---
KEIO University / WIDE Project - School on Internet
白畑 真 <true@xxxxxxxxxxxxxx>
http://www.sfc.wide.ad.jp/~true/

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　インフォシークに　『ファンドランキング』登場！！　ってなに？　　　
　　　　　 http://fund.infoseek.co.jp/Rfund_top.cfm?svx=971122