[stalk:00829] Re: CodeRedII 亜種 (?)

[Minoru Hagiyama <hagiyama@xxxxxxxxxx>]

┏━━━━┓ ===インターネットで仕事獲得：楽天ビジネス=== ┏━━━━┓
┃案件数は┃　Web構築・印刷・会計処理・翻訳　様々な分野で ┃成約実績┃
┃2000件超┃　　　 全国の見込案件を次々ご紹介！！！　　　 ┃　多数! ┃
    ━┻━    この広告を見たと言えば参加特典も！(8月末まで）  ━┻━
　　急げ！⇒ http://business.rakuten.co.jp/apply/index.cfm?afl=fvq 
------------------------------------------------------------------------


はぎやまです。

Hiroshi Tsukamoto wrote:

> そんな雰囲気です。diff取っても
> 
> ● 文字列部分
> 40c40
> < 00 00 00 43 6F 64 65 52 65 64 49 49 00 8B 1C 24  ...CodeRedII...$
> ---
> 
>>00 00 00 5F 5F 5F 5F 5F 5F 5F 5F 5F 00 8B 1C 24  ..._________...$
> 
> ● 末尾
> 93,96c93
> < 89 45 DC E8 10 00 00 00 47 6C 6F 62 61 6C 46 69  .E......GlobalFi
> < 6E 64 41 74 6F 6D 41 00 FF 75 FC FF 55 F8 89 45  ndAtomA..u..U..E
> < D8 E8 0F 00 00 00 47 6C 6F 62 61 6C 41 64 64 41  ......GlobalAddA
> < 74 6F 6D 41                                      tomA
> ---
> 
>>89 45 DC E8 10 00                                .E....

塚本さんのところとは少し違う？のが来ていました。

40c40
< 00 00 00 43 6F 64 65 52 65 64 49 49 00 8B 1C 24  ...CodeRedII...$
---
> 00 00 00 5F 5F 5F 5F 5F 5F 5F 5F 5F 00 8B 1C 24  ..._________...$

お尻は同じで、WEB-IIS cmd.exe accessの一部が00->FFになっています。

137c137
< FF 00 FF FF FF 00 FF FF FF 00 FF FF FF 00 FF FF  ................
---
> FF FF FF FF FF 00 FF FF FF 00 FF FF FF 00 FF FF  ................

# 色々と出てきそう...

-- 
                                   　　　萩 山  実
                                         hagiyama@xxxxxxxxxx
                                  http://www.arsp.ne.jp/gw2/

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　こんなの本当の自分じゃない！心機一転出なおす！！　　　　　　
  http://job.infoseek.co.jp/JobTop?pg=job_top.html&sv=SJ&svx=971122