[stalk:00826] Re: CodeRedII 亜種 (?)

[Hiroshi Tsukamoto <hirobo-ml@xxxxxxx>]

┏━━━━┓ ===インターネットで仕事獲得：楽天ビジネス=== ┏━━━━┓
┃案件数は┃　Web構築・印刷・会計処理・翻訳　様々な分野で ┃成約実績┃
┃2000件超┃　　　 全国の見込案件を次々ご紹介！！！　　　 ┃　多数! ┃
    ━┻━    この広告を見たと言えば参加特典も！(8月末まで）  ━┻━
　　急げ！⇒ http://business.rakuten.co.jp/apply/index.cfm?afl=fvq 
------------------------------------------------------------------------


塚本です

MICKY <micky@xxxxxxxxx> wrote:

> 以下でオリジナルと比較しますけど、なんか無理やりパッチ当てたような
> カンジですね。

そんな雰囲気です。diff取っても

● 文字列部分
40c40
< 00 00 00 43 6F 64 65 52 65 64 49 49 00 8B 1C 24  ...CodeRedII...$
---
> 00 00 00 5F 5F 5F 5F 5F 5F 5F 5F 5F 00 8B 1C 24  ..._________...$

● 末尾
93,96c93
< 89 45 DC E8 10 00 00 00 47 6C 6F 62 61 6C 46 69  .E......GlobalFi
< 6E 64 41 74 6F 6D 41 00 FF 75 FC FF 55 F8 89 45  ndAtomA..u..U..E
< D8 E8 0F 00 00 00 47 6C 6F 62 61 6C 41 64 64 41  ......GlobalAddA
< 74 6F 6D 41                                      tomA
---
> 89 45 DC E8 10 00                                .E....

おしりが短い(ここをみてもGlobalAtom登録チェックをしなそう)
以外はいっしょみたいです。

> 特に incidents@xxxxxxxxxxxxxxxxx では、これに関する情報も無いみたい
> ですし、出来立ての亜種の可能性が高いかな？

これに気がついたのはさっきですけど、さかのぼって探して
みようかな。

-- 
塚本  弘
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　こんなの本当の自分じゃない！心機一転出なおす！！　　　　　　
  http://job.infoseek.co.jp/JobTop?pg=job_top.html&sv=SJ&svx=971122