インジェクション - /*km0ae9gr6m*/ 〜 /*qhk6sa6g1c*/

6月下旬から、新たな？インジェクション被害がでているようです。

最終的にはいつもの脆弱性ねらいのようですが。。。

6/26に国内のサイトが被害にあっているのを確認しましたが、このようなコードが埋め込まれています。

結局はよく見る手法のバリエーションなわけですが、特徴としては、コードが

 /*km0ae9gr6m*/ 〜 /*qhk6sa6g1c*/

のようなコメントで囲まれている点です。

これは攻撃に利用しているexploit kitの特性のようで、

たとえば2008年〜には

のように、こんな特徴の

 /* a0b4df006e02184c60dbf503e71c87ad */　/* a995d2cc661fa72452472e9554b5520c */

改竄を、改竄サイト以外にも、ブログのコメント欄等いろんな場所でみましたし

2010年には、もっと特徴的な、このようなものもありました。

• インジェクション /*Exception*/
• インジェクション　/*LGPL*/

今回のコードですが

デコード一回目で

こうなって、

さらに展開するとこう。

：

ランダムドメインを作成するための関数ですね。

 nextRandomNumber
 RandomNumberGenerator
 createRandomNumber
 generatePseudoRandomString

これにより月、日、時間などを元にして生成された「16文字.ru」のドメインが生成されます。

解析したときはこれ。

 lohnrnnpvvtxedfl.ru

でiframeはこれ。

 ｈttp：//lohnrnnpvvtxedfl.ru/runforestrun?sid=botnet2	

その昔、confikerとかでも使われた手法ですよね。DGAで定期的にランダムドメインにかわるのでブラックリストの効果が下がり？、かなり？効率的に感染者を増やす手法？ということですかね。

今現在の効果はどの程度かわかりませんが、昔効果的だった手法が、現在よく利用されているdrive byとの組み合わせではどの程度有効かを評価して、その結果を見て、いつも盛り上がる夏休み、9月、年末の感染被害の拡大のために利用することを考えているのかもしれませんね。たいてい毎年似たようなパターンだったような気がします。

生成されるドメインはこんなかんじです。

そして

 eyxejlabqaytqmjx.ru	 Tue Sep 11 2012 13:00:00

までのドメインにはすべて同じ

 94.100.27.16

がAレコードとして登録されています。

 domain:        LOHNRNNPVVTXEDFL.RU
 nserver:       evilstalin.https443.net.
 nserver:       smolny.https443.org.
 state:         REGISTERED, DELEGATED, UNVERIFIED
 person:        Private Person
 registrar:     NAUNET-REG-RIPN
 admin-contact: https://client.naunet.ru/c/whoiscontact
 created:       2012.06.14
 paid-till:     2013.06.14
 free-date:     2013.07.15
 source:        TCI
 
 94.100.27.16
 
 inetnum:         94.100.26.0 - 94.100.27.255
 netname:         InternetMediaSolution
 descr:           King Servers
 country:         NL
 admin-c:         KN1199-RIPE
 tech-c:          KN1199-RIPE
 status:          ASSIGNED PA
 mnt-by:          swiftway-mnt
 mnt-domains:     swiftway-mnt
 mnt-lower:       swiftway-mnt
 changed:         hostmaster@info-tel.net 20100426
 changed:         hostmaster@info-tel.net 20100428
 changed:         hostmaster@info-tel.net 20100525
 changed:         hostmaster@info-tel.net 20110610
 source:          RIPE

アルゴリズムがわかってるから対策しやすそうですが、

将来的に利用される予定のドメインはまだ攻撃に利用されていないドメインなわけで、アルゴリズム的には将来的に生成されるはずのものだから、事前にブラックリストにいれてもいいってことになるんでしょうかね？固くまじめに考えると微妙な感じがしますが。

そもそもアルゴリズム変えられたら昔のアルゴリズムで生成されるはずのドメインは攻撃に利用されないこともありうるし、、、

当然新たなアルゴリズムに対応したブラックリスト対応が必要になるわけですが。

[カテゴリ:インジェクション観察日記]

by jyake