ひさしぶりですが、単なる日記。
その1：8月上旬のその1。
「家のhttp(^^;)のログにこんなログがでてたんだけど」
という話があったので、ちょいと見てみる。"NNNNNN…"というのがわんさか。
わし「ああ、これはCodeRedですねえ。Webサーバって確か…」
「Linuxだよ。IISじゃないから」
わし「じゃあ問題ないですね」
ということで終わる。
その2：8月上旬のその2。
ある週の月曜。
わし「へえ、CodeRed IIなんてのがまたでたのかー」
と、WWW上にあるニュース記事を読みながら、社内のログをみる。
会社のWebサーバ(外用)はIISじゃないので、まあ問題ないのだが、と。
わし「ほう"XXXX"タイプというのが結構来てるなあ。いろんなところからアタックが…
！！！」
いろんなところというのは、社内からのアタックも含まれているのであった。あう。
わし「外部から感染されるはずがないのに何で？…やっぱり、…ってことだろうなあ」
見つかったからには仕方がないので（おいおい）、ログから該当PC(Win2000とか)を割り出し、とっとと対処してもらった。まあ、IISが動いているところはそんなになかったらしく、被害はあんまりなかった、のかなあ。どこかで再インストールまでやったとか言う話は聞いたような気が。
結局、某社のネットワークにあるPCが週末に結構感染してたようて、そのうちのPC1台がうちのネットワークに持ち込まれて接続→拡散ということだったらしいです。…気づけよ＞某社。
疑うべきはまず内部から、ということか。
その3：9月中ごろ。というか9/18とか19とか
WWWのログになーんか怪しい文字列が。
わし「…"cmd.exe"の含んだアタック(?)が結構あるなあ。これってNimdaっていう、あれかなあ。でもまだ詳しい情報はないし、様子を見るか」
まだ詳しい情報はなかったし、ワクチンメーカの情報もぼちぼちと出始めし、MSNの感染記事はなぜか出ていて、MSの対策ページは影も形もなかった、そんな頃のこと。
…ここで、分かった人はいるかもしれませんが、ええ、ありましたよ。他のWWWキャッシュのログに「readme.eml」の文字列が。幸いなことに3台程度で、使っていたブラウザがIE4だったことから、大事には至らなかったようですが(訂正：IE4でもやばかったみたいで、運が良かっただけのようですが)。しかし、社内のブラウザって結構IE5って入ってないなあ。
わしのPCにはNetscapeNavigator4.7が入っているので(略)。
で、ここでも某社のネットワークが壊滅的な打撃を被ったとかいう話を聞いたよーな聞かないよーな。さすが。メーカはIISを立ち上げてそのままのPCとか、IE5.01,5.5にSP2を入れていないPCが山ほどあるんだねえ…。
他にも、MSNが引っかかっていたのは笑ったけどな。
readme.emlが埋め込まれているサイトの見分け方：
検索サイトで、検索文字列に「readme.eml」と入れればOK。おい。fresheye(www.fresheye.com)なんか、新作表示が出せるのでなお良いですね。最近はちゃんと穴をふさいでいるサイトがほとんどなので、readme.emlが埋めこまれているサイトを見つけ出すのが難しいですけど。
いろいろと調べていくと、あるプロバイダがユーザ用WebサーバにIISを使っていて、Nimdaに感染されて、ほとんどのユーザーページにreadme.emlが埋め込まれているという悲劇(?)もみましたし。まだまだ埋め込まれたままのサイトってあるんでしょうな。
というわけで、しばらくはログにgrep検索をかける日々が続くのでありました。
おまけ：
後日。
手元にはなぜか5000円分の図書券が。…あれ？もらっていいんですか、これ？もらえるようなことをした覚えはないんだけど、もらえるのならいいか
:-)
…ま、こんな対応で終わらせるようではいけないとは思うんですけどね。