【春雷】　イオナズン対策スレッド2

**名無しの報告** · NG

195 名前：ｒｅｆｆｉ@報告人 ★[sage] 投稿日：2006/04/09(日) 00:00:09 ID:???0
今北産業の人向けに
イオナズン動作（推測だけどほぼ合ってると思います。）

１．山田などで穴が空いているＰＣにbotを送り込む
２．送り込まれたＰＣは定期的にvipのスレ監視をするようになる。
３．特定のスレッドが建って指令コードを書かれたのを確認したら
　　指令されたスレッドの爆撃を開始する。
４．一定回数実行したらまた２に戻る。

【春雷】　イオナズン対策スレッド
http://qb5.2ch.net/test/read.cgi/sec2chd/1144136159/

**名無しの報告** · 2006/04/09(日) 01:38:40

>>108
問題綯い。帰れ。

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · NG

>>109
ノートン反応しますた。
vip231654\【アプリ】Visual Studio2005 Professional キージェネレーター(keygen) 最新版.exe
は Trojan Horse ｳｨﾙｽに感染しています｡
ﾌｧｲﾙへのｱｸｾｽが拒否されました｡

**名無しの報告** · 2006/04/09(日) 01:41:18

ノートン対応してくれたのか。よかったな。

**名無しの報告** · 2006/04/09(日) 01:41:48

多分同じく不安に思ってる人がいそうだから聞いてみた
ｻﾝｷｭ帰る

**名無しの報告** · 2006/04/09(日) 01:42:03

>>109
UPX

**名無しの報告** · 2006/04/09(日) 01:42:06

なんかカーネル叩いてロングパス求めてる？
00003390あたりkernel3..?.2.dll^GetLongPathName
00003D20あたりagel. MSWHEEL.&ouseZ

バスター無反応・・・・・・

**名無しの報告** · 2006/04/09(日) 01:42:39

AVGﾋﾞｸｯ
Trojan horse Generic.SBJ

**名無しの報告** · 2006/04/09(日) 01:44:08

なるほどねえ、そういう訳

こりゃ2ヶ月は楽しめるな

**名無しの報告** · 2006/04/09(日) 01:45:21

BD8Freeはｽﾙｰでした

**名無しの報告** · 2006/04/09(日) 01:45:32

Symantec アンチウイルスプログラムは、
多くの、特定の定義が作成されていない各種のトロイの木馬を検出するときに、Trojan horse を汎用検出名として使用します。

なるほど

**名無しの報告** · 2006/04/09(日) 01:46:26

>>119
通信しようとしたら全部それなんだろうな。

[―{}@{}@{}-] lacoocan.nifty.com · 2006/04/09(日) 01:46:51

VIPのBBQ外して下さい。

.

[―{}@{}@{}-] lacoocan.nifty.com · 2006/04/09(日) 01:47:52

VIPのBBQ外して下さい。

.

**名無しの報告** · 2006/04/09(日) 01:51:53

>>109
バスター無反応＞＜

>>121-122
㍉

**名無しの報告** · 2006/04/09(日) 01:56:05

>>99
時間を見る限り最初の指令で爆撃開始しているようですけどねぇ。
今回のゾンビツールはkeygenだけでなく、エロゲのNoDVD/NoCDとしてnyで大量に
ばら撒かれています。

NoDVDパッチ [18禁ゲーム] [060317]
【18禁ゲーム】[060324]
【18禁ゲーム】[060331]

の195KB圧縮(ZIP/RAR)は大抵そうだと思っていいかも。
プログラムのCRC32:0053B1CEですね。100個ほど捕獲してますｗｗ

ほとんどがZIPとRAR両方配布されているため50タイトル以上のエロゲのパッチと
して配布されているため、被害対象者が多かった。そして3週間以上配布が行わ
れていたと予想できます。

ちなみに先生とバスターは一応反応します。VZBのkeygenはCRC32が違いますが、
ほぼ同じと思ってよさそうですね。(>>109アリガト)

**名無しの報告** · 2006/04/09(日) 01:57:01

★暗号
712
<55><88><00>
674902120954
<66>
851912
<88>
585
<88>
82038701
<88>
98580
<66>
4959
<66>
8518
<55>
147803
<11>
6416
<99>
3093216498
<99><11>
16
<99>
0194876348
<11>
8578053518
<11>
07080535
<88>
0284
<88>
058458058258053
<00>
815863805303836
<22>
98138038053598198518053
<00>
836
<44>
083624056905415
いやなんでもない。

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · NG

>>109
キングソフトに送りました。
どなたかマカフィーとavast!に送ってくらはい。（それぞれ対応してたらその必要はありません）

**星方天使天環** ◆W/UhU0N3pg · 2006/04/09(日) 01:57:56

乗り遅れた産業

前スレ >136 だったりする

**名無しの報告** · 2006/04/09(日) 01:59:43

50タイトルとはまた、強気な数やなぁ。

**名無しの報告** · 2006/04/09(日) 02:00:02

ウイルスを踏んだのは割れ厨ってわけか

**名無しの報告** · 2006/04/09(日) 02:01:18

>>124補足
>>109が上げてくれたkeygenはバスター無反応ですが、124で指摘したエロゲ
パッチは「小泉ウイルス」として反応します(unupxすると無反応ｰｰ;)。

先生はすべて汎用トロイで反応(unupxしても反応)。

Virus Toral死亡中。Jottiは重い。

**root▲ ★** · NG

>>125
前スレを埋めたやつ、、、なのかな。

**名無しの報告** · 2006/04/09(日) 02:02:35

自宅ならavast!に送るんだがなぁ
帰りてー

**名無しの報告** · 2006/04/09(日) 02:02:41

>>126
マカフィー反応したよ

ウイルス名：NewsVIP

**名無しの報告** · 2006/04/09(日) 02:05:08

なんでリソースにVIPのデフォルトななしが入ってるかと思ったら、後ろに半角スペース入ってるんだな
これで指令レス判断してんのかな

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · NG

>>133
どれですか～？
ttp://www.mcafee.com/japan/security/latest.asp
まだ更新されてないのかな？

**名無しの報告** · 2006/04/09(日) 02:07:30

>>134
>>13を見ると1は名無しのあとスペース無し
2,3はスペースがあるね

**名無しの報告** · 2006/04/09(日) 02:07:56

傍観します。
携帯からだからウイルス感染しないアルヨ

**名無しの報告** · 2006/04/09(日) 02:07:58

NoDVDパッチ [18禁ゲーム] お帰りなさいませ☆ご主人様♪ [060317].zip
0bdcf9554b98cde5ef716743617d9365

ﾊｹｰﾝ。
検体確保。

AVASTに送ろうと思うけどどこ？

**名無しの報告** · 2006/04/09(日) 02:08:21

オンラインスキャンに食わせました('A`)
ttp://virusscan.jotti.org/

File: vip231654.zip
Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
MD5 a2ad8e03e373689b5474ddc00789b22d
Packers detected: UPX
Scanner results
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found Trojan.PWS.Vipgsm
F-Prot Antivirus Found nothing
Fortinet Found W32/Delf.KP!tr
Kaspersky Anti-Virus Found Trojan.Win32.Delf.kp
NOD32 Found nothing
Norman Virus Control Found nothing
UNA Found nothing
VirusBuster Found nothing
VBA32 Found Trojan.PWS.Vipgsm

---
>>130
Jottiに何度もﾄﾗｲしてた('A`)重くしてごめんね
あと、Symantecは一応検出してくれたのだけど
コレちょっと動きが特殊なので、説明付けて提出しようとおもう('A`)
うまくいけば名前つけてもらえるかも

**名無しの報告** · 2006/04/09(日) 02:08:23

【MX移行組】Winny ｴﾛｹﾞｰ総合ｽﾚ Part79【お断り】
http://tmp6.2ch.net/test/read.cgi/download/1138882062/564,739

http://tmp6.2ch.net/test/read.cgi/download/1138882062/744
>744 名前： [名無し]さん(bin+cue).rar [sage] 投稿日： 2006/03/24(金) 19:39:50 ID:U9GjfRUb0
>　NoDVDパッチ [18禁ゲーム] がくと！ [060317].exe 200,192 Bytes
>　UPX解凍後 508,416Bytes
>　言語：Delphi
>　2chへの書き込みをするらしい
(省略)
>　ex14.2ch.net
>　news4vip
>　Monazilla/1.00 (Jane2ch/0.1.12.2)

http://tmp6.2ch.net/test/read.cgi/download/1138882062/747
>747 名前： [名無し]さん(bin+cue).rar [sage] 投稿日： 2006/03/24(金) 21:08:05 ID:U9GjfRUb0
(省略)
>　↓アイコンが違う
>　Calculating hash of 199168 bytes file `【アプリ】Adobe Encore DVD2.0 キージェネレーター(keygen) 最新版.exe`...
>　MD5 : 855DD930A0F2F32956A21EF71655C11B

**名無しの報告** · 2006/04/09(日) 02:08:40

>>135
俺はDAT4736だからまだ載ってないっぽい

**名無しの報告** · 2006/04/09(日) 02:12:47

【ついに】イオナズン発動方法　発見！？【解明】
http://live22x.2ch.net/test/read.cgi/news/1144507467/171
解読しやがった

**名無しの報告** · 2006/04/09(日) 02:14:24

>>142
解読になってない件。

**名無し募集中。。。** · 2006/04/09(日) 02:16:06

ロングパスだな

**名無しの報告** · 2006/04/09(日) 02:16:17

今度はこれか？
【洒落】ｴﾛｹﾞｰｽﾚｯﾄﾞ226【Sharｅ】
http://tmp6.2ch.net/test/read.cgi/download/1144404591/284
>284 名前： [名無し]さん(bin+cue).rar [sage] 投稿日： 2006/04/07(金) 22:24:11 ID:XSpCq8Lr0
>　[殺人] Administrator(20060407-140423)のキンタマ.zip 914,011 eaf83c9aaeb6d4c4b9d26033e3fe35fe22dff0cb
>　[殺人] masahide(20060407-103232)のキンタマ.zip 2,218,857 1e638b35a4045389913ba665287e2c7549aeaf90
>　[殺人] milky(20060407-160511)のキンタマ.zip 255,996,247 76fc44651b102c3f55bb808f49b323680121abbd
>　[殺人] みつみつ(20060407-190806)のキンタマ.zip 18,330,787 cce9e55f56f760560b676bb6d18b7aa326877562
>　[殺人] 健(20060407-033652)のキンタマ.zip 10,062,105 92fa9947f08680c3175eea60bf8d3069f95877be
>　[写真集][IV] bettys(20060407-105233)のアルバム.zip 113,935,233 75332812fda5b361b8237ad049c700c3b9bbbebf
>　[写真集][IV] ＭＡＴＲＩＸ(20060407-163029)のアルバム.zip 32,962,059 c7d58b38c19dfe076b15ab36af16ee63b2d62b30
>　[写真集][IV] milky(20060407-160511)のアルバム.zip 149,384,179 b674ea286560565bd1e1196780e18d67ddec3082
>　[写真集][IV] みつみつ(20060407-190806)のアルバム.zip 3,563,951 794e40870d54cb6be79e9987ea3f3d483ecdbcf2
>　[写真集][IV] 新田彰彦(20060407-190437)のアルバム.zip 591,768 acf85cbb9d049e8ad4dd2f14553bf57b8f8b590d
>　
>　これってもしかして新しいウィルス？
>　中にノートンさんも反応しない、フォルダ偽装の.scrファイルが入っているが。

**名無しの報告** · 2006/04/09(日) 02:20:43

わかりやすいとこでターゲットURLの
ttp://qb5.2ch.net/test/read.cgi/sec2chd/1144136159/
の
1144136159
の部分だけ検証

[147803]と
116416993093216498991116990194
[87634]の間の数値列↑を3文字一組とし、頭1文字を捨てる

116416993093216498991116990194
↓
16 16 93 93 16 98 91 16 90 94
↓
1 1 4 4 1 3 6 1 5 9

4回出てくる1及び2回出てくる4の数値が同じになる

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · NG

>>141
もう4736ですか。
Uploader-ACは4400でした。

しかしネーミングがｗｗｗWWWｗｗｗ

どもでしたぁ。ﾉｼｼ

あとはavast!へどなたかお願いしますぅ。

**名無しの報告** · 2006/04/09(日) 02:25:58

[71255]
880067490212095466851912885858882
[038701]
889858066495966851855
[147803]
116416993093216498991116990194
[87634]
811857805351811070805358802848805845805825805300815863805303836229813803805359819851805300836440836240
[56905415]

3文字一組で数からいっておそらく上から順に
qb5.2ch.net
sec2chd
1144136159
人の心に悪がある限り、私は蘇る！！
だと思われる

**stream** ◆PNstream2s · NG

811 857 人　90 6C
805 351 の　82 CC
811 070 心　90 53
805 358 に　82 C9
802 848 悪　88 AB
805 845 が　82 AA
805 825 あ　82 A0
805 300 る　82 E9
815 863 限　8C C0
805 303 り　82 E8
836 229 、　81 41
813 803 私　8E 84
805 359 は　82 CD
819 851 蘇　91 68
805 300 る　82 E9
836 440 ！　81 49
836 240 ！　81 49

**名無しの報告** · 2006/04/09(日) 02:31:06

とりあえずこの板のテストスレあたりに爆撃仕掛けてみたら
datのkeyの解読がビンゴならできるんじゃないかな

**root▲ ★** · NG

71255 とか 038701 とかは、ターミネータ文字列っぽいですね。

**124** · 2006/04/09(日) 02:32:47

KeygenとNoCD/DVDはアイコンが違うので、これがCRCの差かもしれません。
プログラムの説明とかも違いますが、ファイルの日付は06/03/16 01:16:32で一緒

他の配布経路もあるかもしれませんが、手元捕獲だけで57種のエロゲ(マヴラブ
オルタもあるよｗ)のパッチとして出ている以上、4桁近い感染者が出る理由付けに
なると思います(ちなみに前スレ135は私)。

ということで>>1の1は
1.欲望のままにNoCD/NoDVDパッチと称するゾンビコードを実行
　(その他、キージェネと称しているものも確認)
ではないかと。

初イオナズンの日付を知らないのですが、これが3/16以前だと他の配布形態も
あるんじゃないかと思います。

>>139
Jottiはまだ送れない(´･ω･`)
Virus Totalがサービス停止してる余波を食らっている悪寒
………やっと送れた。CRC32:0053B1CEのパッチですが、検知しているのは以下。

MD5 1055704da966c3df3c4f7a12d3ab0e5f
AntiVir Found Trojan/Delf.KP
ArcaVir Found Trojan.Delf.Kp
Dr.Web Found Trojan.PWS.Vipgsm
Fortinet Found W32/Delf.AXE!tr
Kaspersky Anti-Virus Found Trojan.Win32.Delf.kp
VBA32 Found Trojan.PWS.Vipgsm

で、エロゲパッチもあぷろだに載せときました(マヴラヴｗｗｗ)
http://www.vipper.org/vip231716.zip.html
受信パス:virus

起きたら消しますんで、通報屋さんよろしくです。私は寝ます

**名無しの報告** · 2006/04/09(日) 02:33:19

836 440 ！　81 49
836 240 ！　81 49

あたりが気になりますね。

**stream** ◆PNstream2s · NG

爆撃対象スレ
http://qb5.2ch.net/test/read.cgi/operate/1144071322/
指令スレ
http://ex14.2ch.net/test/read.cgi/news4vip/1144078800/
指令文字列
8654712558800672904121952668519128858588820387018888838588812648828581478039161164934930170990160980952958763480817380881580586481886481533480586583694083614080812480881480885380842280814680885780812480827280880980881483624056905415764

**名無しの報告** · 2006/04/09(日) 02:37:35

668519128858588820387018は何だろう

**root▲ ★** · NG

8 80 q
0 67 b
4 90 5
2 12 .
0 95 2
4 66 c
8 51 h
9 12 .
8 85 n
8 58 e
8 82 t

8 89 s
8 58 e
0 66 c
4 95 2
9 66 c
8 51 h
8 55 d

**名無しの報告** · 2006/04/09(日) 02:38:54

*17 0
*16 1
*95 2
*98 3
*93 4
*90 5
*91 6
*99 7
*92 8
*94 9

**名無しの報告** · 2006/04/09(日) 02:42:14

0:17
1:16
2:95
3:98
4:93
5:90
6:91
7:99
8:92
9:94

**root▲ ★** · NG

あと、これですか。

72 名前：stream ◆PNstream2s [] 投稿日：2006/04/09(日) 02:12:51.36 ID:uI2svqiE0 ?
爆撃対象スレ
http://qb5.2ch.net/test/read.cgi/sec2chd/1143040266/
指令スレ
http://ex14.2ch.net/test/read.cgi/news4vip/1143735519/
指令
8327565371255880267290212295966851112885858882038701889858266995466851855147803216416193298117093217995491991876348089298084268088508058658053558362298058448053038053398058258361225690541585765832

808　929　ア　83　41
808　426　ウ　83　45
808　850　ト　83　67
805　865　だ　82　BE
805　355　な　82　C8
836　229　、　81　41
805　844　こ　82　B1
805　303　り　82　E8
805　339　ゃ　82　E1
805　825　あ　82　A0
836　122　。　81　42

**名無しの報告** · 2006/04/09(日) 02:46:11

プログラムを見ると
5830192476 <-> 0123456789
の変換処理がある模様です

よって>>157は
48 49 50 51 52 53 54 55 56 57
と気持ちよく並びます
48は$30 = "0" のasciiコード

**名無しの報告** · 2006/04/09(日) 02:47:57

１．まず、すべての数字を右のように変換する（これ重要）。0<-5 1<-8 2<-3 3<-0 4<-1 5<-9 6<-2 7<-4 8<-7 9<-6
　　例）123なら462みたいに

１．その数字を三つずつに区切る。（162932→162 932）

２．数字の一桁目（462なら4）が、
　　8か9なら　0 + 0 + 三桁目にする。（例）829だったら9だけにする。
　　3～7なら　0 + 二桁目 + 三桁目にする。　（例）536なら36にする。
　　1か2なら　一桁目 + 二桁目 + 三桁目にする。　（例）283なら283のまま。
　　つまり一桁目は桁数を特定するためのもので、ランダムで選ばれるようになっている。

３．この結果、0～255の数字の列が出来上がる。これをバイナリにすれば完了。
　　逆をやればエンコードもできるからイオナズンの発動は誰でも可能になる。

　　バイナリに変換できない場合、バイナリエディタ stirling（http://www.vector.co.jp/soft/win95/util/se079072.html）
　　に、さっき作った数字の列を全部打ち込んでテキストとして保存すればいい。
　　打ち込むときは16進数に直してから。
　　16進数に直せない場合はウインドウズの電卓を起動して、表示→関数電卓にして
　　10進のボタンがチェックされてる状態で数字を入力し、16進をチェックすると16進数に変換される。

ほれ。発動すんなよ。

**名無しの報告** · 2006/04/09(日) 02:49:01

a 71255
b 038701
c 147803
d 87634
e 56905415
このキーワードを探し、その間にある数字を対応する書き込み情報に変換する。
a　”サーバ名（**.2ch.netとか）”　b　”板名（news4vipとか）”　c
　”板キー（114***みたいな10桁の数字）”　d　”書き込む内容”　e

**名無しの報告** · 2006/04/09(日) 02:49:36

おもしろいなぁ

**名無しの報告** · 2006/04/09(日) 02:49:36

名前欄に”以下、名無しにかわりましてVIPがお送りします ”←最後半角スペース

**名無しの報告** · NG

ｷﾀｰ

**名無しの報告** · 2006/04/09(日) 02:50:08

しかしまぁ、こうも面倒なコード作るなあ。

**名無しの報告** · 2006/04/09(日) 02:50:10

やばいやばい。もう発動できちゃうよ。止めて止めてー

**stream** ◆PNstream2s · NG

んじゃさっそくやってみるか。。。

**名無しの報告** · 2006/04/09(日) 02:50:48

VIPのスレタイ検索で「exe」を探せばおｋおｋ

**名無しの報告** · 2006/04/09(日) 02:50:55

やばいよやばいよ

**名無しの報告** · 2006/04/09(日) 02:51:02

>>161
> ほれ。発動すんなよ。

発動する奴が絶対出てくるなww

**名無しの報告** · 2006/04/09(日) 02:51:30

ﾜｸﾃｶ
テストはVIPあたりのスレでやってくれ

**名無しの報告** · 2006/04/09(日) 02:51:32

>>171
串使えないから悪金くらうじゃん。大丈夫だろ。

**root▲ ★** · NG

>>162
a b c d e は、>>161 とは衝突しないようになってるんでしょうね、たぶん。

**名無しの報告** · 2006/04/09(日) 02:51:37

どうぞ。

てかだれか命令コードジェネ作りそうだな。

**名無しの報告** · 2006/04/09(日) 02:51:58

>>173
固定IPじゃなきゃ、焼かれても平気じゃん

**名無しの報告** · 2006/04/09(日) 02:52:23

>>174
なってない。かなり確率は低いが衝突することもある。

**名無しの報告** · 2006/04/09(日) 02:52:35

とりあえずテストが出来るような鯖でも

**名無しの報告** · 2006/04/09(日) 02:53:02

ex14で

**名無しの報告** · 2006/04/09(日) 02:53:11

このスレおぬぬめ
http://live22x.2ch.net/test/read.cgi/news/1144507467/

**名無しの報告** · 2006/04/09(日) 02:53:55

http://live22x.2ch.net/livejupiter/
こっちでもいいんじゃね？

**root▲ ★** · NG

>>177
そうですか。

私の師匠の一人に暗号をやっている人がいるんですが、
これ、どのぐらいのレベルだって言うのかな。

なんというか、ゲーム感覚すね。

**名無しの報告** · 2006/04/09(日) 02:54:38

このスレなら
712558802674902121950668511128858588820387018898589661954668518551478031169160934931902174929914994948763480885880807780885056905415

**名無しの報告** · 2006/04/09(日) 02:55:00

爆撃用のダミースレつくって焼きまくれば爆撃出来なくなるんじゃね

**名無しの報告** · 2006/04/09(日) 02:55:04

71255の前に付いてるのはなんだろう
関係無いのかな

**ちょろ ★** · 2006/04/09(日) 02:55:13

発動させてみてちょ

うまく行くといつでもテストが出来る環境が整うと、

**名無しの報告** · 2006/04/09(日) 02:56:05

じゃあ、管理の人、>>183を貼り付けてね
俺はやだよww
>>164もポイントだね♪

**root▲ ★** · NG

>>186
負荷テストに使おうとか、そういうこと考えてます?

**名無しの報告** · 2006/04/09(日) 02:56:34

テスト

**名無しの報告** · 2006/04/09(日) 02:56:34

テスト

**名無しの報告** · 2006/04/09(日) 02:56:34

テスト

**名無しの報告** · 2006/04/09(日) 02:56:34

テスト

**名無しの報告** · 2006/04/09(日) 02:56:34

テスト

**名無しの報告** · 2006/04/09(日) 02:56:35

テスト

**名無しの報告** · 2006/04/09(日) 02:56:35

テスト

**名無しの報告** · 2006/04/09(日) 02:56:35

テスト

**名無しの報告** · 2006/04/09(日) 02:56:36

テスト

**名無しの報告** · 2006/04/09(日) 02:56:36

テスト

**名無しの報告** · 2006/04/09(日) 02:56:36

テスト

**名無しの報告** · 2006/04/09(日) 02:56:37

テスト

**名無しの報告** · 2006/04/09(日) 02:56:37

テスト

**名無しの報告** · 2006/04/09(日) 02:56:37

テスト

**名無しの報告** · 2006/04/09(日) 02:56:37

テスト

**名無しの報告** · 2006/04/09(日) 02:56:37

テスト

**名無しの報告** · 2006/04/09(日) 02:56:38

テスト

**名無しの報告** · 2006/04/09(日) 02:56:38

テスト

**名無しの報告** · 2006/04/09(日) 02:56:39

テスト

**名無しの報告** · 2006/04/09(日) 02:56:39

テスト

**名無しの報告** · 2006/04/09(日) 02:56:39

テスト

【春雷】 イオナズン対策スレッド2

【春雷】　イオナズン対策スレッド2