2ｃｈの動作報告はここで。パート19

**動け動けウゴウゴ２ちゃんねる** · NG

【まずhttp://www6.ocn.ne.jp/~mirv/accuse.htmを熟読してから】

２ｃｈの動作に関する質問、報告などはこちらにお願いします。

報告の際には、できるだけ詳しい情報をお願いします。
　　▽ 板、又はスレッドのURL
　　▽ プロバイダ名
　　▽ OS の種類・バージョン・SP
　　▽ ブラウザの種類・バージョン・SP
　　▽ PROXYの有無・HTTPヘッダの設定　　など

FAQは下記URLを参照
http://www6.ocn.ne.jp/~boyakkie/faq.html
2ch鯖勝手な監視所
http://users72.psychedance.com/
２ちゃんねるサーバ負荷監視所
http://ch2.ath.cx/load/
アクセス規制情報
http://qb5.2ch.net/sec2ch/
２ちゃんねるwiki
http://info.2ch.net/wiki/

前スレ
2ｃｈの動作報告はここで。パート18
http://qb5.2ch.net/test/read.cgi/operate/1131005961/

**root▲ ★** · NG

ううむ。

2xx 3xx 4xx 5xx URL
279 0 0 0*/test/bbs.cgi
179 151 0 0 /download/subject.txt
156 152 0 0 /download/SETTING.TXT
14 1 0 0 /download/dat/1143132060.dat
9 0 0 0 /mog2/subject.txt
6 0 0 0 /download/dat/1142418021.dat
5 0 0 0 /download/dat/1142954068.dat
5 3 0 0 /download/dat/1143107622.dat
4 0 0 0 /download/dat/1143112573.dat
4 0 0 0 /test/read.cgi/download/1138789268/
4 0 0 0 /download/dat/1138682667.dat
3 0 0 0 /download/dat/1142766486.dat
3 0 0 0 /download/dat/1143040813.dat

**root▲ ★** · NG

たぶん、一番上のスレとかをめがけて来るんじゃないかなと。(直感)

**root▲ ★** · NG

subject.txt 拾っているのと、SETTING.TXT 拾っていることからも、
それがうかがえますね。

**root▲ ★** · NG

とりあえず緊急に、BBS_BE_TYPE2=checked にしてみた。< download
でも、叩かれるのは直らない予感。

**root▲ ★** · NG

しばらく様子見。

負荷が変わらなければ、>>484 は意味がないんで、戻すかんじで。

**root▲ ★** · NG

だめすね。

bbs.cgi を起動される前に何とかしないと。
元に戻します。

◆Reffiz2Zh. · 2006/03/24(金) 02:20:05

バーボン見ると国内からがたい半ですねぇ
これは時限発動式のウィルスかも

**root▲ ★** · NG

運営系・質雑スレの人が馴れ合うスレ Part110
http://tmp6.2ch.net/test/read.cgi/mog2/1142258384/796-797

なるほど、重くはないのか。
SpeedyCGIでよかったってかんじ。

**root▲ ★** · NG

>>487
そんな気がしますね。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 02:22:13

緊急事態なので帽子を被ります。
投稿した文字列を見て気がついたのですがこれってwinnyとかで検索しようとしている
文字列をひたすら投稿するプログラムになっているかも

**root▲ ★** · NG

幸いにもスワップが起こりまくる感じではないし、
サーバが機能しなくなるほどではなさそう。

で、たんたんとバーボン行きになっていると。

**root▲ ★** · NG

>>490
なるほど、新手のウイルスですか。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 02:26:16

>490
winny検索文字列を投稿してると判断した決定的な証拠はにハッシュをそのまんま
投稿していることです。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:26:44

爆撃跡のあるスレタイ見ても共通点はさっぱり。
適当に上or下から爆撃してるわけでもないし、新しいor古いスレからってわけでもない。

投稿内容はこれでビンゴだろうけど、これだけわかっても意味なす。
＞ユーザー名・Download.txt・検索単語をランダムっぽいで（´・ω・）ｽﾈ

**root▲ ★** · NG

この1時間でtmp6で1000回以上bbs.cgiを起動したIPアドレスは、
とりあえず焼き依頼します。

こちらで。

■ウィルス爆撃相談所＆焼き処【RockBBQ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1140878994/

**root▲ ★** · NG

しかし、いたちかも。
しかもこの頻度だと「起動されること」自体がいまいちなわけで。

しかも新種のウイルスだとすると、今後広まる可能性が大きいし。

**root▲ ★** · NG

あとは、観察かな。

とりあえずサーバが完全につぶれるほどではないわけで。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:51:28

http://tmp6.2ch.net/test/read.cgi/download/1143095397/l50
このスレに前々からexeクリックする度に投稿すると予想されてる物とは別物？

**root▲ ★** · NG

試してみたところでは効果ありそうなので、

■ウィルス爆撃相談所＆焼き処【RockBBQ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1140878994/764

のアドレスは、緊急にdenyします。

**root▲ ★** · NG

deny しました。
LA 下がってきた模様。< tmp6

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 02:58:41

>>498
空の軌跡SCまだぁ～とは別。挙動が全然違う。
ウィルス自体の解析はダウソに該当スレがあるのでそっちで。

**root▲ ★** · NG

完全にシャットアウトすると、たぶん対策もできなくなる気がするので、
事態が大きく変化するまでは、緊急対応はまずはここまでということで。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:00:31

ふむ

**root▲ ★** · NG

現状までのまとめ:

1) ２ちゃんねるのダウンロード板に向けて高頻度の投稿(というかbbs.cgiの起動)
を行う、新種のウイルスが現れた模様
2) このウイルスは、subject.txt や SETTING.TXT を(も?)、強烈に触る模様
3) 感染すると、Winny の検索文字列? を、ダウンロード板の特定のスレッドに投稿し続ける模様
4) 新種のウイルスは、2006年3月24日 1:00 JST に、一斉に発動しだした模様
5) 既に数十台のPCに感染している模様

結果、tmp6 サーバは LA=20 超えがずっと続く高負荷な状態に。
緊急に bbs.cgi を叩きまくっている IP アドレスをdenyし、高負荷な状態は脱した。

しかし、今後については予断を許さない状況。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:14:03

>>504
ところでお前いつ寝てるの?

**root▲ ★** · NG

>>505
機能は狭い機内で爆睡してました。
今日はもう寝る予定で。ぐーぐー。

**root▲ ★** · NG

機能 => 昨日

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 03:35:26

rootﾀｿいつも遅くまでありがとうね(´；ω；｀)

**root▲ ★** · NG

で、今後の対応をすすめる際のメモというか、情報共有をしておきます。

今後の対応の際にはいったん
.htaccess の該当箇所をはずすことになると思います。
(山田ウイルスの時と同じ)
ということでその旨がわかるように、.htaccess にコメントを書いておきます。

deny したアドレスからは、
あいかわらず subject.txt と SETTING.TXT への超高速アクセスが続いています。
deny して以降、 bbs.cgi の起動数は一段落し、高負荷状態はいったんおさまっています。

でもたぶん、全部の爆撃が止まったわけではないです。
小規模な爆撃はたぶん続いているんではないかなと。
とりあえず、今はあえて残しておきます(>>502)。

**root▲ ★** · NG

寝る前に、管理人と関係者に >>469- からの流れをメールしておこうと。

**root▲ ★** · NG

>>510 done.

**生姜焼き ★** · 2006/03/24(金) 05:04:10

お疲れ様です

今はこの辺ですかね

BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
【Winny】騎乗位動画part3【share】
http://tmp6.2ch.net/test/read.cgi/download/1139344805/

**生姜焼き ★** · 2006/03/24(金) 06:30:51

【winny】ｲﾝﾃﾞｨｰｽﾞ音源総合!!Part4【share】
http://tmp6.2ch.net/test/read.cgi/download/1139402525/

もうすぐ埋まるけどここもか

**生姜焼き ★** · 2006/03/24(金) 07:53:48

>>513
【winny】フェラ動画part5.1【イラマ・手コキ】
http://tmp6.2ch.net/test/read.cgi/download/1141389731/
ここへ移動

**動け動けウゴウゴ２ちゃんねる** · NG

>>514
そこ埋まりました
今ココっぽい

【ny】お笑いバラエティ動画総合Part16 【share】
http://tmp6.2ch.net/test/read.cgi/download/1139757423/

**動け動けウゴウゴ２ちゃんねる** · NG

ageｽﾏｿ

こっちも爆撃
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/

**ひろゆき＠どうやら管理人 ★** · NG

いやぁ、なんかすごいっすねぇ。

**七宝焼 ★** · NG

今北産業
どうやらさんより遅れるとはorz

**root▲ ★** · 2006/03/24(金) 11:19:31

>>517
メールのとおりですね。

とりあえず32個ほど .htaccess で denyしてありますが、
もっと増える傾向の模様。

さて、どうすべきか。

**root▲ ★** · 2006/03/24(金) 11:21:29

tmp6 ログインしましたが、感染PCは増えているみたい(想定の範囲内だけど)。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:22:56

>>516
【】が共通してる爆撃対象？

● ◆ANGLERlqvM · NG

春休み＋週末で、一気に感染PCが増えそうですね。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 11:23:52

う～む、予想通りの展開ですか。。。。。
rockも不可能に近いのでバーボンを超厳しくするしか打つ手無しですね

**動け動けウゴウゴ２ちゃんねる** · NG

>>521
対象が分らない…
BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
ここは【】が無いしいｎｙやreも無い

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:33:43

集中しているのだから条件があるっぽいけど、複合条件で中間を選ばれたら...
ブツを捕らえて解析しないと挙動は判明しないでしょうね。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:37:34

>>524
"part"が怪しいという説がありました

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:39:07

BOT軍団だったら最悪ですね
山田オルタナティブみたいにネットワークを形成し、どこかからの指令で集中攻撃なんて・・・

**４７紙** ◆AIKOeeeEzw · 2006/03/24(金) 11:39:54

ひろゆきめっけ( ﾟдﾟ )

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:40:02

ny もしくは ar って感じかな…？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:41:13

>>526
例外
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/ ;

あと
【ｹﾂﾒﾄﾞ】winnyで拾えるアナル物 Part9【菊門】
http://tmp6.2ch.net/test/read.cgi/download/1138682667/l50
【ｹﾂﾒﾄﾞ】winnyで拾えるアナル物 Part9【菊門】
http://tmp6.2ch.net/test/read.cgi/download/1143133214/l50

同一でなのに上は埋められ、下はあらされていない。（1000に気づかずスクリプトが攻撃し続けてるのかもしれないが）

**root▲ ★** · 2006/03/24(金) 11:45:11

%uptime
6:44PM up 51 days, 43 mins, 1 user, load averages: 8.27, 6.10, 4.88

LA、上がってきましたね。< tmp6

**動け動けウゴウゴ２ちゃんねる** · NG

>>526 >>529
>>530
今までとは索敵が違うんだよな…
例えば
ID:HVetDKcR0は
【ny】お笑いバラエティ動画総合Part16 【share】
http://tmp6.2ch.net/test/read.cgi/download/1139757423/
と
BenQ DW1650 DW1655系専用スレ part1
http://tmp6.2ch.net/test/read.cgi/download/1142808085/
と
【winny】　時代劇すれ　拾参　【 ('A`) 】
http://tmp6.2ch.net/test/read.cgi/download/1141996991/
に爆撃してるけど、3つのスレタイに共通項が無い

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:49:55

arでしょ。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:50:26

ｎ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:09

>>532
あえて共通というなら「ｎ」か。

**root▲ ★** · 2006/03/24(金) 11:51:17

ny と ar の両方かな。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:26

強いて言えば、"a"OR"A"だな

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:51:56

変態紳士とえろげすれ1690
http://tmp6.2ch.net/test/read.cgi/download/1143155121/
このスレのID:YZxIXePP0はどうでしょ？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:53:03

そんなアバウトに爆撃対象絞るなら
一番上とか書き込みが新しいとことかでいい気がするが、、、

**root▲ ★** · 2006/03/24(金) 11:53:08

というかもはやどんな亜種が出ても、想定の範囲内かと。

◆AIKOeeeEzw · 2006/03/24(金) 11:53:44

どれも「ｎｙ」か「Part」がｽﾚﾀｲに入ってるけど
【】の入ってるスレが多いのを見ると
3つのキーワードのどれかがあると反応するんじゃ？

**動け動けウゴウゴ２ちゃんねる** · NG

>>535-537
となるともっと他ｽﾚに爆撃ありそうなもんですが…
現状は爆撃するスレがある程度固定してる

>>540
だすなｗ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:54:23

対象条件変えるなんて簡単にできるしね。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:55:14

>>538
他に変なのいないから、スクリプト荒しじゃないかな

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 11:56:11

nyとかならいっぱいスレがあるのでスレの順位を含めた総合で判断しているかと思います
もしくは頭がいて命令を出しているんでしょかね

**(^-^)犬** ◆VET4349ZB. · NG

(w|i|n|y|W|I|N|Y)　　かなーと勝手に予想。

今回はやる事なさそうだから野次馬野次馬。

**root▲ ★** · NG

さて、どうするかですが、、、。

bbs.cgi を起動されたら負けなので、
起動される前に止めるしかないかんじですね。

単位時間あたりのCGI実行回数を制限するようなしくみを
httpd 的に入れるとか。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:03:40

放置でええやん。
潰れたほうがいい板なんだし。

**外野ｧｧﾝ** · 2006/03/24(金) 12:05:37

板はつぶれてもいいけどサーバはつぶれられると困るわけです

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:05:38

Samba24:180

**stream** ◆PNstream2s · NG

ウイルスの書き込みってきちんと書き込み成功してるんですかね？
もしウイルスがきちんと作られてなかったら、bbs.cgiの起動回数のわりにバーボンに行きにくい。

今の書き込みバーボンって、書き込まれないとバーボンにならないし(BBSを使ってるから。)
読み込みバーボンはdatとかread.cgiを想定してるからbbs.cgi起動という観点としては閾値が高いし。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:12:09

>>549
困ったもんだな。

● ◆ANGLERlqvM · NG

> 単位時間あたりのCGI実行回数を制限するようなしくみを
> httpd 的に入れるとか。

そして、感染している事を分かるようなページを作って飛ばしちゃうとか。
とか、適当に言ってみるテスト。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:16:49

UAで弾くとかできないでしょうか？

283 ：ひろゆき＠どうやら管理人 ★ ：2006/03/19(日) 11:17:03 BE:227366-#
http://tmp6.2ch.net/test/read.cgi/download/1142495725/179
</b>ZE048099.ppp.dion.ne.jp<b><>age<>2006/03/16(木) 20:43:59 h46D5c6z0<> <br> 明日、小泉純一郎日本国首<><>ZE048099.ppp.dion.ne.jp<>220.217.48.99<><>

他の種類だが、ここからUAなしというのが分かったので。

**水色＠飛行石 ★** · 2006/03/24(金) 12:16:51

あららー。

どーも時限式でやるってのがパターンとして
定着しつつありますねー。

何日～何週間か前に流しておいてー、ウィルス自体に
忘れた頃に起動するってやつですねー。
時間差があると、ファイルを特定しにくくなりますしー。

Rockも既に警戒してるんだなー。
Winnyの検索文字とか入ってるテキストからランダムに
文字を抽出して投稿してる感じですねー。

って分析したところで鯖の防衛には役に立たんけどー（汗）。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:24:39

>>554
仮にそれでつぶせるとしても、ここで「UA無い奴は弾くようにした」って公表した途端
UAも送りつけてくる亜種が出来るだけのような。

この手の対策はどうやって対策したかをわからないようにするのも重要なんだけど、
ここの仕組みはそれが出来難いから･･･

**水色＠飛行石 ★** · 2006/03/24(金) 12:25:15

それでですがー、バーボンハウスに入ったものは、
とりあえずBBQで焼きますかねー。＞downloadだけ

どーせ1～2時間後に解除されたら、また書き込んで
バーボン逝くのを繰り返すんでしょうからー。

1～数日単位で焼いておいた方が、傾向が見えるかもー。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:30:52

>>556
そうなんですよね。対応できるのはあくまで今拡散しているものであって、改善（？）されてしまっては意味がない。
いっそのことトラップに自爆機能でもつけてくれたほうがサーバー側にとっては楽だったリして

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:31:15

随分勢いがあるな

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:33:02

ちなみにうちの県は今日、小中学校の修了式。春休み突入で爆発的に増える予感

**水色＠飛行石 ★** · 2006/03/24(金) 12:36:15

まー、対症療法には限界がありますからねー。

病原菌であるウィルスファイルを特定して、
アンチウィルスソフト各社に検出してもらうよーに
してもらう以外、根本的な治療方法は無い予感ですー。

地道で時間かかる作業ですけどー、検索文字列をランダムに
書き込んでるってことはー、共通で拾ってくる分野のファイルって、
絞り込めないですかねー。

基本的に、検索対象のファイルしかダウンロードしない仕組みですしー。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:42:09

どうせ動的にサーバー名取得してないだろうから、破滅的な攻撃になったらコロコロサーバー名変えるという手もあるかも

**動け動けウゴウゴ２ちゃんねる** · NG

>>561
＞共通で拾ってくる分野のファイルって、絞り込めないですかねー
それ色々考えたんですが、なかなか難しいです
アニメ、音楽、声優、エロ系多数…
｢寺光敦史｣のID:PjOKEUGX0が気になる…

検体絞り込めたらいつもみたいにベンダー送りにできるのですが、なんともはや、、、

**外野ｧｧﾝ** · 2006/03/24(金) 12:43:55

47氏と相談して「あんたのPC感染しとるよ」ってメッセージが
winnyに送り返せたりできるといいんだけどね

◆AIKOeeeEzw · 2006/03/24(金) 12:44:38

>>564
バージョン警告みたいに？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:46:59

>>565
ん？Share？

◆AIKOeeeEzw · 2006/03/24(金) 12:49:22

>>566
ny使ってる時にnypに接続されるとステータスバーの上に警告が出るよ

**水色＠飛行石 ★** · 2006/03/24(金) 12:49:38

>>563
いっそ、それらのキーワードで全部入れてー、
どんどんダウンロードして調べるとかー。

ってのは、ちょっとリスキーですよねー(汗）。

>>564
相手が２ちゃんねる見ていない以上、警告する手段
ないですからねー。

唯一の手がかりはプロバイダなんですけどねー。
前にもう断られたって話ですしー。

けど、前とは状況は違ってますからねー。
再度交渉してみるって手はあるんじゃないですかねー。
こんだけ荒らしてるんだって添えてー。

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:52:21

ん？nypはnyに対して警告は出させないよ

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 12:52:52

>>567
なるへそ
でも、弄ると京都府警がうるさいかも。

**ｒｅｆｆｉ@報告人 ★** · 2006/03/24(金) 12:53:30

>568
確かに前に通報したときはいくつかのプロバイダから対応しないとの回答を
いただきました。
今回はＩＤ抽出してＩＤごとに掘った上で通報すれば対応してくれるんじゃない
かと思ってます。
それに今は芋掘りもしてないのでこちらも暇ですし（苦笑

**stream** ◆PNstream2s · NG

BBQしちゃうとバーボンには行かなくなるからbbs.cgiが起動しちゃったりする

**水色＠飛行石 ★** · 2006/03/24(金) 12:56:31

>>572
あ、そうかー。
bbs.cgiでチェックしてるんでしたよねー。

あとはバーボンハウスの時間を少し延ばすとかくらいかー。

**root▲ ★** · NG

>>554
今問題になっているのは、UAなしですね。

ちなみにUAなしをはじくと、正規の投稿も相当数はじかれるようです。
前に、おじさんにしかられました。

BBQで焼くのはそれなりには効果あるかもですが、
既にこの回数になると、bbs.cgi での対応では解決にならないですね。
起動負荷だけで、現在の状況なわけで。

bbs.cgi を起動される＊前＊に、対策しないと。

**root▲ ★** · NG

>>572
そうなんですよね。

**どくどくさぼてん** · 2006/03/24(金) 12:57:19

>>555
BBQでも、bbs.cgiは起動しちゃうから
やばいんじゃないですかねぇ、、

そもそも書きこまれる以前に
bbs.cgiをもの凄い勢いでアクセスされてるのがアレな点だったような、、

**水色＠飛行石 ★** · 2006/03/24(金) 12:59:00

重婚だーｗ

**どくどくさぼてん** · 2006/03/24(金) 12:59:24

って書いたらいつの間にか質問と回答がでてきてた（汗

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 13:02:15

http://tmp6.2ch.net/test/read.cgi/download/1142594523/
の135以降は既出？

**動け動けウゴウゴ２ちゃんねる** · 2006/03/24(金) 13:02:51

まだじゃないですか。これはたちが悪いな。

2ｃｈの動作報告はここで。 パート19

2ｃｈの動作報告はここで。パート19