【緊急】XREAがクラックされる s172以外のユーザも要確認

449:名無しさん＠お腹いっぱい。 :2006/12/11(月) 21:16:00 0
s172鯖おかしくない？
ファイルの最後にo00o.infoとか辺なサイトに飛ぶiframeが埋め込まれてる…

http://www.o00o.info/portal/index.php?aff=razec

↑こんなの

つーかs172のadmin画面にも埋め込まれてる('A')
クラックでもされたか？


454:名無しさん＠お腹いっぱい。 :2006/12/11(月) 22:12:45 0
MMO板から緊急出張してきますた。

はっきり言います。
価格.comやVectorで中国人ハッキング団が仕掛けているものだと思われます。
このIFRAMEはIEの脆弱性を悪用したもので、最新アップデートされてない状態だと
アクセスするだけでウィルスに感染してしまいます。

このウィルスは、オンラインゲームのLineage,LineageIIを起動した際に入力
するアカウント情報を盗み出し、中国ハッキング団に送信するものです。

PWSteal.Lineageの亜種でほぼ毎日このウィルスは更新され殆どウィルス
対策ソフトでは対応が追いついていないのが現状です。

xrea.com part118
http://pc8.2ch.net/test/read.cgi/hosting/1163563931/449-

僕の肛門もクラックされそうです

ハッカーだけど何でも聞いてくれ

>>3
hackのそもそもの意味は？

リネ2やってて引退するときRMTで4万になったのがいい思い出だ

ソーシャルハックしてテメーの住所調べてやるから覚悟しとけよっていうネタがおもしろかった

>>3
このじゃがいも煮えてますか？

すっげー焦って確認したら、オレが使ってるのs217だったｗ

>>3
ハッカーをアナルにいれるとスースーするって本当？

マックなら大丈夫

>>3
はっくしょん！

>>3
時給いくら？

管理者領域までやられたのか？
一箇所やられたのなら他の鯖も警戒しといた方いいぞ。
基本的に同じバージョンのLinux/Apache使ってるんだろうから。

自分とこは今のところだいじょぶだった

proxomitronでiframe禁止にしてるからへーきだもん。
javascriptとかも全部切って必要な時しか解放してないし。
どんとこいウィルス。

そいや俺も1つ持ってたわ

また中国テロリスト共か


RMT必死だなｗｗｗｗ

焦って確認してきた。大丈夫だった

そもそもXREAってなんて読むんだよ？　くそりあ？

ハッカー板から飛んできました

エックスレア

薬屋

507 名前：449=454=472[sage] 投稿日：2006/12/12(火) 00:14:20 0
マスターからの返信有

順番に対応中との事。
何の順番なのかは不明。

ありえる被害・手口可能性一覧：
●root権又はサーバー管理用アカが奪取された
●悪意ユーザーの脆弱パーミッションを狙ったピンポイント書換え
●パスワード辞書アタックによる各アカウントのPWの奪取
etc...

本スレが混乱中

xrea.com part118
http://pc8.2ch.net/test/read.cgi/hosting/1163563931/

s240は大丈夫っぽいな

つまりどうしたら・・

s2の俺は関係ないな

３年前ぐらいから狙ってるが垢取ったことないわ

過疎サイトだがXREA使ってるわ

うわあああああああああああああ
ApacheDropper実行したらノートン先生に消されたああああああ
ところにNet Toolsインスコｵﾜﾀ

>>5
ROでzeny無限増殖で1億万円儲けたぜ

なにやってんのXREA

こっちはちょっと何かやったら捕まるのに
向こうは槍砲台でもお咎め無しってのがなぁ・・

NetTools機能大杉ワロタ

俺の超放置サイトも大丈夫だった

持ってて良かったLAND.TO!!
XREAは垢デリされて以来使ってねえ

ISPと鯖運営してるとこは中国全部弾いてくれよ・・・

xreaの募集っていつすんの？

あれFTPでみるとファイルはあるのにサイトが４０４になっとる

ハックラ板って昔あったよね？

今は初級セキュ板になってんじゃ？

バージョン低いPHP使ってて、PHPの脆弱性突いて攻撃してたりして

それだとhtmlまでもクラックされたという情報には合致しないが・・・Apatchの既知の脆弱性かな？それともまさかの未知の脆弱性か

>>39
ソースみたらiframeとかあったりしてな

俺登録して以来一切つかってないけどこれは許せないな

有料鯖？

無料　有料もあるんかな

無料と、
金を払って広告を下げてもらうという名目のサービスはある。
ただ契約時から金を払うと入金者専用サーバーを振分けてもらえる

ああすまん、s172は有料鯖なのかなと思って

昔ロダやってて垢消されたなぁ
やっぱinfoseekだわ　寛大すぎる

>価格.comやVectorで中国人ハッキング団が仕掛けているものだと思われます。
なにこれ

s191で有償サービス使ってるんだが無事確認

最近ﾊｶｰの動きが活発だな。
たくさんExploitでたからか？

変なページに飛ばされるのは鯖クラックされてたのが原因だったのか・・・
安いから我慢汁で今回もFA?

>>50
価格.com
価格.comのウイルス、MMORPG「リネージュ」起動中に活動することが判明
http://internet.watch.impress.co.jp/cda/news/2005/05/17/7617.html

Vector
「Vector」で公開中の807タイトルがウイルス感染、7,873回ダウンロード
http://internet.watch.impress.co.jp/cda/news/2006/10/02/13473.html


両方リネージュの垢とパスワードをどこぞ（中国）に送信するウイルス。たぶん今回も
アカウントを乗っ取って、装備を剥ぐ。これ今のトレンド。BOT使うより楽だから

国内でやれば当然犯罪（他人の垢使用は不正アクセス禁止法違反）。しかし海外なら日本の公権力も届かない

>>1

＞このIFRAMEはIEの脆弱性を悪用したもので、最新アップデートされてない状態だと
＞アクセスするだけでウィルスに感染してしまいます。

踏むところだったろ馬鹿が死ね

マスターの気が狂ってチョンへの報復田代呼びかけたらいいのに

>>50
http://www.vector.co.jp/info/060927_system_maint_vdetails.html
http://musyoku-waste.hp.infoseek.co.jp/test/

こんな時の数だけ多いVIPPERを利用すればいいんじゃね

つまりリネやってなきゃ問題ないって事なの？

Javascript切った状態で踏んでも大丈夫？

>>59
ようはキーロガーなんだからリネに限らず
何の入力情報ですら盗まれてる可能性だってあるんだぞ。

ウィルス対策ベンダーの対応が追いつかないように必至に毎日
ウィルスファイルを更新してるから恐ろしい。

感染しててネットショッピング、バンキングなんかしてる人はいつパクられてもおかしく無いぞ。

>>59
ウィルスこ怖さってなんだか知ってる？

そんなスキルがあるならリネージュのパス抜くなんかよりもっと別のことに使えばいいのに

>>63
リネのパス盗むことが、手っ取り早くお金になるからじゃね

>>55
ソース見ろよ
何もないぜ

>>1
このURLふんでも空白のHTMLが来るだけなんだけどどうして？

ああ。。。最近なんか調子が悪いと思ってたら
中国人が攻撃してたのか・・・。

>>60
Javascriptによって書かれているわけではないからきってても感染する。（最新WinUpdateしてなければ）
というかIE本体の脆弱性を付いたものなのでスクリプトの形式は関係ない。

あと、踏んだ先が真っ白だったというケースあるけど
このハック手法の特徴は捨てドメインをいくつも使ってやってる事。
殆ど使い捨て状態な。だから日替わりペースで新しいドメインで罠が仕掛けられていってる。

飛び先のチェック (ver 0.04) by ぴょん基地の友達
解析


飛び先のURL
www　o00o　　info　　　　port　al/i　ndex.　　　　　　　php?aff　　　　　=razec

code = 200
base = ht　t　　p　:　//www.o0　　　　　　　0　　　　　ああああ　　o.info/　　　　　　　　p　　　あoあああああrtal/index.php?aff=razec
body =


おもわずふんでしまいました

踏んじまった＼（＾o＾）／

解析を妨害するために、ウイルスが発動する脆弱なバージョンのIEじゃないとコンテンツ吐かないようにしてあるのかも。

古いバージョンのIEのUserAgent頼む

ハックしたデータの送信先がわかれば田代砲を打ち込んでやるのに

>>68
じゃあOperaで踏んだ俺はあまり心配しなくていいかな＾−＾

Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.1)
Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.1)
Mozilla/4.0 (compatible; MSIE 5.0; Windows NT 5.1)
Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

>>54..57
金儲けのためのウィルスかよ。

>>74
だめだわ(´･ω･`)

ソースがおくられてこない

GET /portal/index.php?aff=razec HTTP/1.1
Host: www.o00o.info
User-Agent: Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)
Accept: text/plain,*/*
Accept-Language: ja;q=1.0
Referer: http://link.s172.xrea.com/
Connection: close
Cookie: gj=x;


これで試したがダメ
Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)　でもダメだな
リファラかましてもクッキー食わせても無駄っぽい

>>1
535 ：名無しさん＠お腹いっぱい。 ：2006/12/12(火) 01:00:50 0
Domain ID:  D12330058-LRMS
Domain Name:    O00O.INFO
Created On:     07-Mar-2006 04:54:30 UTC
Last Updated On:    06-May-2006 20:40:38 UTC
Expiration Date:    07-Mar-2007 04:54:30 UTC
Sponsoring Registrar:   eNom, Inc. (R126-LRMS)
Status:     OK
Registrant ID:  A186FC3CB0792A40
Registrant Name:    Fan ShuangPing
Registrant Organization:    ShuPin
Registrant Street1:     26th middle school
Registrant Street2:     
Registrant Street3:     
Registrant City:    Jiaozuo
Registrant State/Province:  Henan
Registrant Postal Code:     454100
Registrant Country:     CN
Registrant Phone:   +1.3913306350
Registrant Phone Ext.:  
Registrant FAX:     
Registrant FAX Ext.:    
Registrant Email:   [email protected] 

--
やっぱり中国

なんか表示されないサイトが出てきてるらしいな

割れ厨でさえアップデートできるのにしてないやつなんかいるのか？

しかしXREAまでかぁ…

ネトゲやらないのが一番の対策だな

winnypのノードを拾おうとしたら取得できなかったのはこれのせいか

俺、s172鯖取得してるよ。有料鯖だ。
さて、アクセスしてみるか。

ソースも見てみたけど、iframeなんて埋め込まれてないなあ。
アクセスも普通にできるよ。もしかして、もう処理済み？

中国人にネットを与えるな。

rootを奪取するのは当り前だろ常識的に考えて
最近の奴はもうバレないように痕跡を消すとか考えずに改竄しやがるんだな。
対応が面倒だっつーの。

s41はだいじょぶっぽいな

とく２最高！

他のサイトも心配だな。

xrea.com part118
http://pc8.2ch.net/test/read.cgi/hosting/1163563931/

ＰＳ３はこれでもう・・・・

xrea.com part118
http://pc8.2ch.net/test/read.cgi/hosting/1163563931/

>>31
一億万円ってことは1000000000000円ってことか

「あのXREAが！？」って感じ

Xreaは終わった


これからはとく２だ

うんcoq

s172がクラッキングされた件について、マスターたんからの返答があったぞ。

http://sb.xrea.com/showpost.php?p=77437&postcount=2

>　この度は、s172サーバーをご利用の皆様には、ご心配とご迷惑をおかけし、大変申し訳ございません。
>　　サービス開始以来6年目で初めて経験となりますが、まだまだ至らない部分を反省し、
>　今回の経験と反省が、今後のセキュリティ維持、サービス向上に反映されるよう、より一層努めて参ります。
>　s172サーバーで、XREA+サービスをご利用のお客様にはささやかではございますが、
>　無償で6ヶ月分の期限延長を行わせていただきます。

だそうです。

2chではここまで騒がれているのに、公式サポートフォーラムへの苦情カキコが全くない所を見ると、
xreaはよっぽど好かれているようだな。

あ、隠蔽せずにちゃんと対応してくれたマスターたんには感謝。
ユーザの心をよく理解していらっしゃる。

>　特定後、ソフトウェアを削除し、当サービス内の他サーバーでは再現しない事も確認しました。
>　ソフトウェア名、バージョンなど詳細な情報につきましては、今後公開するか検討したいと思っております。

被害者が増えないよう公開したほうがいいと思う。
隠蔽によるセキュリティなんて（ある程度スキルを持った）クラッカーには全く通用しないからね。

祭りも終わったな

記念マキコ

対応も早い方だ

とりあえず安心

結局犯人は誰だったんだ？

続きは本スレで

xrea.com part118
http://pc8.2ch.net/test/read.cgi/hosting/1163563931/

＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。
＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。
＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。
＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。
＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。
＞サーバー内部の脆弱性のあるプログラムを検索するCGIを設置されおりました。

m9（＾Д＾）ﾌﾟｷﾞｬｰ!! 鯖乗っ取りwwwうはwwwwおkwwww

だからとく２が安心安全だと

劣等チャンコロ貧民

まじ？

ネトゲやってない俺には関係ないな

ＰＣに無知な友達に面白おかしく説明したいから詳しい人わかりやすくおしえて

糞鯖

この出来事を風化してはならない

>>112
Wikiにかいとけば？

>>112
お前は風化しろ

>>112
ふーか

ふうかふうか