Friday, April 10. 2009
Conficker_Hype - nächster Teil (#1)
Tja, da gehen die sog. Experten hin und registrieren sich domains die der Conficker-Wurm anlegen wird,
um ein Update zu Verhindern, was ja eh aussichtlos erscheinen musste,
und dann geht der sucker hin und macht etwas vollkommen anderes.
Jede noch so falsche Information wird in diesen hype verwertet.
Bei den AVs, in den weblogs und .. überall.
Hat sich denn jemand mal die Mühe gemacht das gegenzuprüfen?
Nein? ...und der Rest der schreibenden Zunft macht was?
Abschreiben?
Nehmen wir einmal den Artikel auf Heise Security:
http://www.heise.de/security/Conficker-Wurm-laedt-jetzt-doch-nach--/news/meldung/136005
Dort beginnt es so: "Nach Angaben von..."
und das der Wurm aus Korea nachgeladen hat.
Dort wird verwiesen auf http://blog.trendmicro.com/downadconficker-watch-new-variant-in-the-mix/
und
http://countermeasures.trendmicro.eu/new-downadconficker-variant-spreading-over-p2p/
Aha.
Was lesen wir da?
Oh, unser sucker lädt auch eine Datei namens "fuck4.exe" von goodnewsdigital.com ?
Die erste Ip die mir angeboten wurde war tatsächlich in Korea beherbergt.
Mir ist aber auch gelungen, das "Massachusets Institut of Technology" damit in Verbindung zu bringen.
Wie das kann?
um ein Update zu Verhindern, was ja eh aussichtlos erscheinen musste,
und dann geht der sucker hin und macht etwas vollkommen anderes.
Jede noch so falsche Information wird in diesen hype verwertet.
Bei den AVs, in den weblogs und .. überall.
Hat sich denn jemand mal die Mühe gemacht das gegenzuprüfen?
Nein? ...und der Rest der schreibenden Zunft macht was?
Abschreiben?
Nehmen wir einmal den Artikel auf Heise Security:
http://www.heise.de/security/Conficker-Wurm-laedt-jetzt-doch-nach--/news/meldung/136005
Dort beginnt es so: "Nach Angaben von..."
und das der Wurm aus Korea nachgeladen hat.
Dort wird verwiesen auf http://blog.trendmicro.com/downadconficker-watch-new-variant-in-the-mix/
und
http://countermeasures.trendmicro.eu/new-downadconficker-variant-spreading-over-p2p/
Aha.
Was lesen wir da?
Oh, unser sucker lädt auch eine Datei namens "fuck4.exe" von goodnewsdigital.com ?
Die erste Ip die mir angeboten wurde war tatsächlich in Korea beherbergt.
Mir ist aber auch gelungen, das "Massachusets Institut of Technology" damit in Verbindung zu bringen.
Wie das kann?
und hier können wir sehen, dass das Massachusetts Institute of Technology TEil eines Fastflux Netzwerkes ist:
Nun schaut euch die Anfrage auf robtex.com an:
http://www.robtex.com/dns/goodnewsdigital.com.htmlWenn wir dig benutzen sieht das ganze so aus:
Wir fragen nach den Nameservern von goodnewsdigital.com:
CODE:
playbox$ dig goodnewsdigital.com +ns
SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.goodnewsdigital.com in 3432 ms.
Speicherzugriffsfehler
verdammt, was war das? nochmal das ganze...CODE:
playbox$ dig goodnewsdigital.com +ns
SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns4.longballonline.com in 532 ms.
SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns5.longballonline.com in 345 ms.
SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns6.longballonline.com in 461 ms.
SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.longballonline.com in 436 ms.
;; connection timed out; no servers could be reached
schon besser, gestern gingen aber ns2 und ns3 noch ;)Schauen wir also nach den Nameservern von longballonline.com.
CODE:
playbox$ dig longballonline.com +ns
Ergebnis: nichts. Keine Nameserver.Aber wo wird nun aufgelöst?
CODE:
playbox$ dig ns4.longballonline.com +trace
....
ns4.longballonline.com. 172800 IN A 119.15.255.70
com. 172800 IN NS g.gtld-servers.net.
com. 172800 IN NS k.gtld-servers.net.
com. 172800 IN NS d.gtld-servers.net.
com. 172800 IN NS m.gtld-servers.net.
com. 172800 IN NS e.gtld-servers.net.
com. 172800 IN NS b.gtld-servers.net.
com. 172800 IN NS j.gtld-servers.net.
com. 172800 IN NS c.gtld-servers.net.
com. 172800 IN NS a.gtld-servers.net.
com. 172800 IN NS l.gtld-servers.net.
com. 172800 IN NS i.gtld-servers.net.
com. 172800 IN NS f.gtld-servers.net.
com. 172800 IN NS h.gtld-servers.net.
;; Received 512 bytes from 192.5.6.30#53(a.gtld-servers.net) in 169 ms
Die Antwort kommt direkt vom gtld-servers.net, was in dem Falle heisst, das diese Einträge glued sind.
Alle 6 nameserver, ns1 bis ns6.longballonline.com verbreiten im Wechsel die IPs der Nameserver,die nur in Delegation sind.
Während die eigentlichen nur in der Zone sind.
CODE:
playbox$ dig ns4.goodnewsdigital.com +ns
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.ns4.goodnewsdigital.com in 1512 ms.
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns3.ns4.goodnewsdigital.com in 1508 ms.
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns4.ns4.goodnewsdigital.com in 1512 ms.
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns6.ns4.goodnewsdigital.com in 360 ms.
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns2.ns4.goodnewsdigital.com in 4521 ms.
SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns5.ns4.goodnewsdigital.com in 3552 ms.
Wie man sehen kann, wird das ns[1-6] immer wieder vorne angehangen.Nur so eine Idee... wie sieht es dann mit der Integrität aus? ;)
Geht mal hin auf robtex.com, wenn ihr z.b. auf windoof unterwegs seit und lasst mal ein wenig suchen und klickt ein wenig herum ;).
Schade ist, das die Betreiber der gtld-servers.net wohl nichts dagegen machen können,
aber vielleicht sollte man das komplette DNS Prinzip in Frage stellen? nächster Teil folgt
Trackbacks
Trackback specific URI for this entry
No Trackbacks
Comments
Display comments as
(Linear | Threaded)
Willst du damit wirklich sagen das Conficker in Verbindung mit dem MIT steht ?
Und was ist mit dem Domain-Flux was er angeblich benutzt,ist das real oder frei erfunden ?
Ich wollte nur sagen, dass auch das MIT-Netz Teil des FastFlux-Netzes ist.
siehe:
http://blog.grospolina.net/archives/48-wirres-MIT-FastFlux-Botnetz-2.html
und
http://blog.grospolina.net/archives/52-Mehr-FastFlux-Graphiken.html
Der Einfachheit halber gibt's nun eine neue Kategorie:
http://blog.grospolina.net/categories/11-botnet
Pages
katsumi's page
GROSPOLINA.ORG
Glastopf Webhoneypot
Glastopf Projektseite
Glastopf Subversion/Trac
Glastopf @ grospolina
GROSPOLINA.ORG
Glastopf Webhoneypot
Glastopf Projektseite
Glastopf Subversion/Trac
Glastopf @ grospolina
Links
gut verglast ist ....
GLASBLOG
zeroq's blog:
VIRUSBLOG
Jon.Oberheide's blog:
jon.oberheide.org
offensivecomputing.net:
kishfellow's blog
malware&reversing
Zairon's blog
Bharath m narayan's blog:
Bharath's security blog
botnetz.com:
BOTNETZ
tho's blog:
HoneyBlog
Perforin's virii.lu:
virii.lu
The Outside Of The Asylum:
ab in die anstalt
GLASBLOG
zeroq's blog:
VIRUSBLOG
Jon.Oberheide's blog:
jon.oberheide.org
offensivecomputing.net:
kishfellow's blog
malware&reversing
Zairon's blog
Bharath m narayan's blog:
Bharath's security blog
botnetz.com:
BOTNETZ
tho's blog:
HoneyBlog
Perforin's virii.lu:
virii.lu
The Outside Of The Asylum:
ab in die anstalt
Quicksearch
Categories
Archives
Top Referrers
www.bing.com (8)
www.google.de (7)
www.netcraft.com (6)
www.google.com.hk (4)
server19.xlhost.de (2)
www.google.com.br (2)
glasblog.1durch0.de (1)
medsleader.net (1)
www.baidu.com (1)
www.google.de (7)
www.netcraft.com (6)
www.google.com.hk (4)
server19.xlhost.de (2)
www.google.com.br (2)
glasblog.1durch0.de (1)
medsleader.net (1)
www.baidu.com (1)
Letzte Goggele Suche
dumme musikindustrie
T-dreams Announcement Script SQL Injection Vulnerability
glastopf
feed me milw0rm
server4you handle
katsumi
http://www.example.com/mail_this_entry/mail_autocheck.php?pm_path=shell link
1h
WikiLeaks.ORG
rfi bot php
massachuset bot net
Glastöpfe
mail_this_entry mail_autocheck.php
installation honeypot
glastopf
RFI List For An IRC
[[[[[[[phttp://www.mozilla.com/en-US/firefox/3.
xkcd matrix
was ist robtex
glastopf MySQLdb
stichi o polina
das neue game yum haus anubis
"Now Is The Time Infiltrate Your System "
was ist rfi injection
glastopf joomla
glastopf test
katsumi
schwester string
pbot rfi
was ist robtex
Text Jeder Tag ist ein neuer anfang
Iranisches Nouruz -Fest
T-dreams Announcement Script SQL Injection Vulnerability
glastopf
feed me milw0rm
server4you handle
katsumi
http://www.example.com/mail_this_entry/mail_autocheck.php?pm_path=shell link
1h
WikiLeaks.ORG
rfi bot php
massachuset bot net
Glastöpfe
mail_this_entry mail_autocheck.php
installation honeypot
glastopf
RFI List For An IRC
[[[[[[[phttp://www.mozilla.com/en-US/firefox/3.
xkcd matrix
was ist robtex
glastopf MySQLdb
stichi o polina
das neue game yum haus anubis
"Now Is The Time Infiltrate Your System "
was ist rfi injection
glastopf joomla
glastopf test
katsumi
schwester string
pbot rfi
was ist robtex
Text Jeder Tag ist ein neuer anfang
Iranisches Nouruz -Fest
Syndicate This Blog
Exploit-db, feed me!
Error on line 137 of /usr/local/lib/php/s9y-supersized/bundled-libs/Onyx/RSS.php: The specified file could not be opened. (#)
Glasfeed
No RSS/OPML feed selected