インジェクション nolohing.cn ， laed.ru 追記

laed.ru復活してました。昨日はただ単にAレコードがなくなっていただけのようです。

あいかわらずインジェクション被害の規模感はさっぱりわかりませんが、特徴があるので追記。

（★と思っていたら、インジェクションされているサイトがちょこっとですが検索でも引っかかるようになってますね。日本国内サイトは見当たらないようですが。6/23 23:50追記）

 ;laed.ru.                       IN      A
 
 ;; ANSWER SECTION:
 laed.ru.                300     IN      A       219.148.202.25
 laed.ru.                300     IN      A       220.164.82.72
 laed.ru.                300     IN      A       58.251.56.239
 laed.ru.                300     IN      A       200.112.152.42
 laed.ru.                300     IN      A       216.101.241.225
 
 ;; AUTHORITY SECTION:
 laed.ru.                300     IN      NS      ns1.laed.ru.
 laed.ru.                300     IN      NS      ns2.laed.ru.

 inetnum:      219.148.192.0 - 219.149.127.255
 netname:      CHINANET-LN
 descr:        CHINANET liaoning province network
 descr:        China Telecom
 descr:        No.6,Feiyun Road,Hunnan New District
 descr:        Shenyang,110168
 country:      CN

 inetnum:      220.163.0.0 - 220.165.255.255
 netname:      CHINANET-YN
 descr:        CHINANET yunnan province network
 descr:        China Telecom
 descr:        A12,Xin-Jie-Kou-Wai Street
 descr:        Beijing 100088
 country:      CN

 inetnum:      58.248.0.0 - 58.255.255.255
 netname:      UNICOM-GD
 descr:        China Unicom Guangdong province network
 descr:        China Unicom
 country:      CN

 inetnum:     200.112.128/19
 status:      allocated
 owner:       Broadbandtech S. A.
 ownerid:     AR-BSAB-LACNIC
 responsible: Fernando G. Escobar
 address:     Olga Cossenttini, 731, Piso 3
 address:     C1107VBA - Buenos Aires - 
 country:     AR

 CustName:   Barracuda Networks
 Address:    385 Ravendale Dr Mountain View,CA 94043 USA
 City:       Mountain View
 StateProv:  CA
 PostalCode: 94043
 Country:    US
 RegDate:    2005-10-11
 Updated:    2005-10-11
 
 NetRange:   216.101.241.0 - 216.101.241.255 
 CIDR:       216.101.241.0/24 
 NetName:    SBC21610124100024051011130804
 NetHandle:  NET-216-101-241-0-1
 Parent:     NET-216-100-0-0-1
 NetType:    Reassigned
 Comment:    
 RegDate:    2005-10-11
 Updated:    2005-10-11

アクセスした結果、こういうのを食らったり、

http://www.virustotal.com/analisis/e608f6e9d5bd7351b8748ed0f2e87b21b470a4aeb3ad12ecdc39076ea116125b-1245747392

こういうのを食らったりします。こちらはPDF系ですね。

http://www.virustotal.com/analisis/6c15358f50723429357881ba75483ffebdaa4e43e591d4ff385851c3001d3598-1245747786

二番目の方は特徴的なのですが、環境を変えて検証していないので明確にはわかっていませんが、他の事例を調べてみるとWindowsの種類が変わったり、foxitの情報が入る場合があるようですのでユーザー環境の情報が反映されているかもですね、、、今のところ不明確です。

[カテゴリ:インジェクション観察日記]

by jyake