インジェクション　GNU GPL／CODE1　２

「インジェクション　GNU GPL／CODE1」の続きで、

最近のインジェクションされている難読化スクリプトを解くと出てくるURLの特徴です。

/*GNU GPL*/が特徴のものについてはこのような感じで、有名サイト、一般サイトの文字列で構成されています。

jp系ではbiglobeとかnikkeibpとかも文字列が使われていますね。

/*CODE 1*/が特徴のもについても同様でこちらはocn.ne.jpが使われている例です。

これらのドメインに関してはレジストラやIPアドレスは基本的には共通ですかね、タイミングによってAレコードのメンバーが若干変化します。

 ;; QUESTION SECTION:
 ;BROWNBAGBAR.RU.                        IN      A
 
 ;; ANSWER SECTION:
 BROWNBAGBAR.RU.         300     IN      A       85.25.73.243
 BROWNBAGBAR.RU.         300     IN      A       91.121.49.129
 BROWNBAGBAR.RU.         300     IN      A       91.121.142.111
 BROWNBAGBAR.RU.         300     IN      A       94.23.89.95
 BROWNBAGBAR.RU.         300     IN      A       62.75.184.40

 domain:     BROWNBAGBAR.RU
 type:       CORPORATE
 nserver:    ns1.hostserverdirect.com.
 nserver:    ns2.hostserverdirect.com.
 nserver:    ns3.hostserverdirect.com.
 nserver:    ns4.hostserverdirect.com.
 state:      REGISTERED, DELEGATED, VERIFIED
 person:     Private Person
 registrar:  NAUNET-REG-RIPN
 created:    2009.11.22
 paid-till:  2010.11.22
 source:     TCI

年末に登場したあたらしいインジェクションに関しては解読するとこのようなURLが得られます。

「oughwa．com」は最近のWaledac関連でも使われているようですね。上記二つのものとは別物っぽい。

両URLともにレジストラもIPアドレスも同じですね。そしてともに「domoktov．com」へリダイレクトされます。

 Domain Name: OUGHWA.COM
 Registrar: CHINA SPRINGBOARD INC.
 Whois Server: whois.namerich.cn
 Referral URL: http://www.namerich.cn
 Name Server: NS1.FAVOLU.COM
 Name Server: NS2.FAVOLU.COM
 Name Server: NS3.FAVOLU.COM
 Name Server: NS4.FAVOLU.COM
 Name Server: NS5.FAVOLU.COM
 Name Server: NS6.FAVOLU.COM
 Status: clientDeleteProhibited
 Status: clientTransferProhibited
 Updated Date: 30-dec-2009
 Creation Date: 25-nov-2009
 Expiration Date: 25-nov-2010

TTL=0のAレコードをひとつしか返してきませんが、毎回異なるアドレスを応答するタイプのFast-fluxですね。かるく3分ほどしらべただけで70個程のユニークなIPアドレスが取得できました。実際はかなりの規模のボットが使われてるかもしれません。

 ;; QUESTION SECTION:
 ;sodanthu.com.                  IN      A 
 ;; ANSWER SECTION:
 sodanthu.com.           0       IN      A       221.247.134.16

取得できたIPアドレスのAS別の数をまとめてみました。NO_ENTRIESが多いのは使ったDBに登録がなかっただけです。この表では国内IPは17676、7522、9824だけですが、試しに調べたときには別の国内IPもあったのですが、構成しているボットの規模が大きいのか、一度応答された国内のIPがなかなか二度以上登場しないです。

リダイレクトされるサイトはここです。ここのサイト構造は単純な感じで。

   Domain Name: DOMOKTOV.COM
   Registrar: ARSYS INTERNET, S.L. D/B/A NICLINE.COM
   Whois Server: whois.nicline.com
   Referral URL: http://www.nicline.com
   Name Server: NS1.EVERYDNS.NET
   Name Server: NS2.EVERYDNS.NET
   Name Server: NS3.EVERYDNS.NET
   Name Server: NS4.EVERYDNS.NET
   Status: ok
   Updated Date: 13-nov-2009
   Creation Date: 13-nov-2009
   Expiration Date: 13-nov-2010

 122.115.63.19
 
 inetnum:      122.115.32.0 - 122.115.63.255
 netname:      Qishangzaixian
 descr:        Beijingqishangzaixian Shujutongxinkejiyouxiangongsi
 descr:        Room 1908-1909, No.32, Beisanhuanxilu
 descr:        Beijing, China, 100086
 country:      CN

[カテゴリ:インジェクション観察日記]

by jyake