攻撃者は騙されない？

９月の終り頃に話題になっていた最近よく利用されているといわれているexploitpackの一つCRiMEPACKに付属しているdeny listについて調べてみました。

これは何用のリストかというと、構築した攻撃サイトに対して、ハニーポットやクローラーなどを利用して調査、解析を行おうとする捜査機関、アナリスト、セキュリティ関連企業からのアクセスをブロックするために利用されるものです。

リストの中身は/32のIPアドレスの羅列です。一部のGoogle bot関連のみ/24。

このリストを下記のようなスクリプトを使って、iptablesに設定してアクセスをブロックするようです。

意外と地味です。

 deny-ip.sh
 #!/bin/bash for ip in `cat ip-list-XXXXXXXX.txt` ; do iptables -I INPUT -s $ip -j DROP ; done 

実際のアドレスを以下に。nameやASなどの情報を解析しなおしてます。ASNameの解析精度がいまいち、、、

元々のリストの内容に重複等があったため、実質517個（ブロック）。

先頭のOLDについては後述。

明確に正体？がわかっているものついては備考に記載してます。

で、その後述ですが、

このリストを見てふと思い出したリストがあってそれとマッチングしてヒットしたものにOLDというフラグつけてます。

そのリストというのは一年以上前に、地下？コミュニティでやりとりされていた

「ハニーポットリスト」

の一つです。

ハニーポットを使ってbot/botnetをあぶり出そうぜの向こう側で、ハニーポットをあぶり出してやろうぜということが行われていました。たぶんもっと前から、そして今も。

で、そのリストの一つと今回のリストをマッチングさせた結果100%ヒットしました。

それ以外の部分については該当のリストを見つけることができなかったのですが、ハニーポットっぽくないもので目立つのが、

• セキュリティ関連会社のシステム
• クローラー
• anonymizer関連（proxy/torなど）

です。

クローラー（googleとwebsense）を気にしてますかね。

これらに関しても世界には様々なリストがあるので、そういったものをつかっていのかもしれません。また、この結果からみても、リスト上のその他のアドレスもハニーポット、クローラーで利用されていた（る）可能性が高いアドレスだと思われます。

心当たりがありますか(･o･)ﾉ？

とりあえず国別にまとめてみました。

縦軸はリストにあったアドレス数です。

日本も割合的には多く、robot系、ホスティング、企業系とブロードバンドユーザー用のアドレスです。

心当たりがありますか(･o･)ﾉ？

このリストの精度が高いとすると、

どの国がボット解析や対策が進んでいるか？力を入れているか？を表すグラフとも言えるかも？

と思いましたが、マルウェアの蔓延度が高い国にハニーポットをたくさん設置して解析しているとも見えるので、

そうとも言い切れ無いですかね。

つぎにAS別にまとめてみました。

トップはseclabですね。

最近では、クローラー対策で、攻撃に利用されるURLそのもの以外のファイルを探りにくるようなアクセスに関して、アクセスログから情報を抽出してブラックリスト化するという「運用」も行われているようなので、デフォルトでついてくるこういったリスト以上に運用で利用されているリストの精度は高まっているかもしれません。

なので、不用意なクローリングやURL、ファイル名の曖昧検索的なクローリングは、このようなトラップに引っかかることになるので、注意が必要です。

また、ハニーポットホイホイ的な攻撃サイトもありそうですし、偽情報的なもので誘導して、ハニーポットやクローラを引っ張りだしているんじゃないか的なものもあるので（まだどれがどうかという確証得られてないです、、、）騙しあいです。

が、逆に考えると、日本中のアドレスをこういったブラックリストに載せさせれば、日本のアドレスは感染することがなくなるんじゃないかと思えたりします。まぁすべてのアドレスをそんなことにはできないので無理なわけですが。

ずーっと昔から日本のP2Pの世界？では、peerguardian2等を使って国、政府、捜査、企業等のリストを元に、調査、おとりや海外からの不正アクセスをフィルタするようなことが行われていたかと思うので、それにくらべれば普通かなと。

[カテゴリ:botnet観察日記]

by jyake