Conficker_Hype - nächster Teil (#1)

Friday, April 10. 2009

Posted by katsumi in botnet, malware, wirres at 10:53 | Comments (3) | Trackbacks (0)

Conficker_Hype - nächster Teil (#1)

Tja, da gehen die sog. Experten hin und registrieren sich domains die der Conficker-Wurm anlegen wird,
um ein Update zu Verhindern, was ja eh aussichtlos erscheinen musste,
und dann geht der sucker hin und macht etwas vollkommen anderes.
Jede noch so falsche Information wird in diesen hype verwertet.
Bei den AVs, in den weblogs und .. überall.
Hat sich denn jemand mal die Mühe gemacht das gegenzuprüfen?
Nein? ...und der Rest der schreibenden Zunft macht was?
Abschreiben?
Nehmen wir einmal den Artikel auf Heise Security:
http://www.heise.de/security/Conficker-Wurm-laedt-jetzt-doch-nach--/news/meldung/136005
Dort beginnt es so: "Nach Angaben von..."
und das der Wurm aus Korea nachgeladen hat.
Dort wird verwiesen auf http://blog.trendmicro.com/downadconficker-watch-new-variant-in-the-mix/
und
http://countermeasures.trendmicro.eu/new-downadconficker-variant-spreading-over-p2p/
Aha.
Was lesen wir da?
Oh, unser sucker lädt auch eine Datei namens "fuck4.exe" von goodnewsdigital.com ?
Die erste Ip die mir angeboten wurde war tatsächlich in Korea beherbergt.
Mir ist aber auch gelungen, das "Massachusets Institut of Technology" damit in Verbindung zu bringen.
Wie das kann?

und hier können wir sehen, dass das Massachusetts Institute of Technology TEil eines Fastflux Netzwerkes ist:

Nun schaut euch die Anfrage auf robtex.com an: http://www.robtex.com/dns/goodnewsdigital.com.html
Wenn wir dig benutzen sieht das ganze so aus:
Wir fragen nach den Nameservern von goodnewsdigital.com:

CODE:

playbox$ dig goodnewsdigital.com +ns SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.goodnewsdigital.com in 3432 ms. Speicherzugriffsfehler

verdammt, was war das? nochmal das ganze...

CODE:

playbox$ dig goodnewsdigital.com +ns SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns4.longballonline.com in 532 ms. SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns5.longballonline.com in 345 ms. SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns6.longballonline.com in 461 ms. SOA ns1.goodnewsdigital.com. root.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.longballonline.com in 436 ms. ;; connection timed out; no servers could be reached

schon besser, gestern gingen aber ns2 und ns3 noch ;)
Schauen wir also nach den Nameservern von longballonline.com.

CODE:

playbox$ dig longballonline.com +ns

Ergebnis: nichts. Keine Nameserver.
Aber wo wird nun aufgelöst?

CODE:

playbox$ dig ns4.longballonline.com +trace .... ns4.longballonline.com. 172800 IN A 119.15.255.70 com. 172800 IN NS g.gtld-servers.net. com. 172800 IN NS k.gtld-servers.net. com. 172800 IN NS d.gtld-servers.net. com. 172800 IN NS m.gtld-servers.net. com. 172800 IN NS e.gtld-servers.net. com. 172800 IN NS b.gtld-servers.net. com. 172800 IN NS j.gtld-servers.net. com. 172800 IN NS c.gtld-servers.net. com. 172800 IN NS a.gtld-servers.net. com. 172800 IN NS l.gtld-servers.net. com. 172800 IN NS i.gtld-servers.net. com. 172800 IN NS f.gtld-servers.net. com. 172800 IN NS h.gtld-servers.net. ;; Received 512 bytes from 192.5.6.30#53(a.gtld-servers.net) in 169 ms

Die Antwort kommt direkt vom gtld-servers.net, was in dem Falle heisst, das diese Einträge glued sind. Alle 6 nameserver, ns1 bis ns6.longballonline.com verbreiten im Wechsel die IPs der Nameserver,
die nur in Delegation sind.
Während die eigentlichen nur in der Zone sind.

CODE:

playbox$ dig ns4.goodnewsdigital.com +ns SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns1.ns4.goodnewsdigital.com in 1512 ms. SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns3.ns4.goodnewsdigital.com in 1508 ms. SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns4.ns4.goodnewsdigital.com in 1512 ms. SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns6.ns4.goodnewsdigital.com in 360 ms. SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns2.ns4.goodnewsdigital.com in 4521 ms. SOA ns1.ns4.goodnewsdigital.com. root.ns4.goodnewsdigital.com. 20081223 300 300 300 0 from server ns5.ns4.goodnewsdigital.com in 3552 ms.

Wie man sehen kann, wird das ns[1-6] immer wieder vorne angehangen.
Nur so eine Idee... wie sieht es dann mit der Integrität aus? ;)
Geht mal hin auf robtex.com, wenn ihr z.b. auf windoof unterwegs seit und lasst mal ein wenig suchen und klickt ein wenig herum ;).

Schade ist, das die Betreiber der gtld-servers.net wohl nichts dagegen machen können,
aber vielleicht sollte man das komplette DNS Prinzip in Frage stellen? nächster Teil folgt

Trackbacks

Trackback specific URI for this entry

No Trackbacks

Comments

Display comments as (Linear | Threaded)

Willst du damit wirklich sagen das Conficker in Verbindung mit dem MIT steht ? Und was ist mit dem Domain-Flux was er angeblich benutzt,ist das real oder frei erfunden ?

#1 Humker on 2009-07-04 12:28 (Reply)

Ich wollte nur sagen, dass auch das MIT-Netz Teil des FastFlux-Netzes ist. siehe: http://blog.grospolina.net/archives/48-wirres-MIT-FastFlux-Botnetz-2.html und http://blog.grospolina.net/archives/52-Mehr-FastFlux-Graphiken.html

#1.1 katsumi on 2009-07-04 16:28 (Reply)

Der Einfachheit halber gibt's nun eine neue Kategorie: http://blog.grospolina.net/categories/11-botnet

#1.2 katsumi (Homepage) on 2009-07-04 18:09 (Reply)

Add Comment

Name
Email
Homepage
In reply to
Comment	To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly. Enter the string from the spam-prevention image above: BBCode format allowed
	Remember Information? Subscribe to this entry

Conficker_Hype - nächster Teil (#1)

blog.grospolina.net

Friday, April 10. 2009

Conficker_Hype - nächster Teil (#1)

Pages

Links

Quicksearch

Categories

Archives

Top Referrers

Letzte Goggele Suche

Syndicate This Blog

Exploit-db, feed me!

Glasfeed