UnderForge of Lack

さて、その終わったはずの Gumblarが完全に ShutDownさせられたかもしれない？というお話です

Gumblar Companion Finally Shutting Down?

最近誤訳をしたばかりなので（泣）一応原文をチェックしてみてください。
英語得意なわけじゃないんです・・・
斜め訳：
以前のBlogで以下のように報告しました

現時点では一週間以上の間、gumblar.cnとmartuz.cnは閉鎖状態ですが、その他の仲間は増殖し続けていました。悪意を持ったドメインは

liteautotop.cn
bigtruckstopseek.cn
autobestwestern.cn
bestlitediscover.cn
bigpremiumlite.cn
bigtopartists.cn
bigtopcabaret.cn
bigtopsuper.cn
giantnonfat.cn
hugebestbuys.cn
litebest.cn
litetopautoseek.cn
superdietfind.cn
yourlitetopfind.cn

と増え続けています。

つい先日、攻撃者がドメインリストを分割して、２つのIPアドレスでの攻撃に切り替えました

70.85.142.250
86.106.121.200

これら双方はとも、91.212.65.14というnameserverを使用しており、以下に示す複数のNameserverに登録していました。

この戦術は地方(home-grown : 意訳的にはIT先進国ではない～セキュリティ意識に欠ける)の防弾ホスティング問題と類似しています。しかし幸いなことに、現在はネームサーバ自身が閉鎖中のようです。これは朗報です。なぜなら、犯人は商売（攻撃）を続行するために余計なコストがかかるからです。いずれ、コストが高くなりすぎるならば、これらの特定な攻撃は終焉するでしょう。

もっとも、これはもぐらたたき(Whack-a-Mole)をやっているようなものです。ワンセットになったドメインの群れが引っ込んだら、他のセットが顔を出します。５月の前半の２週間で、ScanSafe STATは 919 もの別々の Web上の攻撃を検知しました -- Gumblarとその眷属はちょうどその期間の 3/919 の攻撃に過ぎません。

たった３ですか（苦笑）

70.85.142.250はMDL May 26, 2009で身内向けには通達済みでしたが、86.106.121.200のほうは漏れてました。ごめんなさい。
※MDLにも載ってないので、ScanSafe独自の調査なのかな？


防弾ホスティング(bullet-proof hosting)は、「悪意コンテンツだろうがスパマーだろうが」お構いなしに受け入れるホスティング会社を指します。
詳しくはこのへんを参考にしてください。
スパム・ビジネスに利用される「防弾ホスティング」と「防弾ドメイン」


DNSそのものを塞ぐのはイロイロ影響が出るかもしれませんし、他のDNSにzone fileが渡ってしまうとあまり意味がありませんが・・・

91.212.65.14 ？　んん？
Eurohost LLC Ukraine
塞いじゃって下さい・・・・

他のDNS
213.163.91.91
Serverboost IP space Netherlands
初見

209.44.126.7
Netelligent Hosting Services Inc. Canada Quebec
いつもの Zeusドメイン

213.182.197.23
JUNIK Riga Network Latvia
はいはい・・

202.73.57.20
dyn20-b57-access.superdsl.com.sg
Viewqwest Pte Ltd Singapore
初見
202.73.57.11と202.73.57.6でLuckysploit系の攻撃犯歴有
また、2009/01/21 に Zeus/wsnpoem の報告有
202.73.57.0/24

95.129.144.211
Ventrex LLP UK
LOVE MALWARESでクロ判定しておいた範囲内でした。

ということで、攻撃者の手札は相当狭められているようです。

Google検索すると（ちょっと危なげなとこに）危険DNSのリストがあり、そこにはバッチリ記載されていました。

しかし、DNSまで汚染してるとかアリエン・・・ラトビア、ウクライナ両国の人はそろそろ何とかしないと、国ごとブロックされかねませんよ？（苦笑）

-----------

いろいろなゴミも含めてコレが No.500 のPostでした。

-----------

This entry was posted on 日曜日, 5 月 31st, 2009 at 7:17 AM and is filed under security. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.