「「CCleaner」に混入されたマルウェアは特定企業を狙った標的型攻撃だった」記事へのコメント

残念ながら

[Anonymous Coward]

スラドもうちの会社も対象外 [talosintelligence.com]でした。

ホントにtest.comをターゲットにしたかったのか、単に作者がRFC2606 [ietf.org]を知らなかったのか…

Re:残念ながら

[minet (45149)]

test.com、何かと変なデータやメールを送られて来て大変だろうなぁ。

Re:

[Anonymous Coward]

[e-mail]もそうですね。
私もメールアドレスが求められて検証がない場合はたまに使ってます。
受信者が実在する [bar.com]のでIPアドレスくらいはそこに漏れる事があり得るのでよろしくはないですが。

Re:

[Anonymous Coward]

そういう他人に「何かと変なデータやメールを送られて来て大変」な迷惑をかけない意味も含めてのRFC2606でしょうに。

「.test」「.example」「.invalid」辺りは単純な文字列形式のチェックで弾かれるかもしれんけど、
「example.com」「example.net」「example.org」辺りはよくある形式で名前解決も出来るし、
もし何か来てもそれはゴミであるって前提で運用されてるから問題の程度が大きく異なる。

RFC2606でなくても、チェック無いならせめて捨てアドの類とか、ゴミが来ること前提で運用されてるサービス使おうぜ……

Re:

[Anonymous Coward]

フリーウェアのインストールには厳しそうな会社が並んでますが、実際に攻撃受けたということは入れてる人いたんでしょうね。

Re:

[Anonymous Coward]

?

1. どこかのマシンが感染して、攻撃を行う。
        このマシンはフリーウェアをインストールして感染した。
2. 攻撃先に前述の企業が入っていた
        この企業のマシンが感染してるかどうかについての言及はないし、読み取れない。

Re:

[Anonymous Coward]

チゲぇよ。
まず、このマルウェアは感染すると「特定のサーバ」に対して「コンピューター名やIPアドレス、アプリケーション一覧など」を送信する。
# 「特定のサーバ」は米当局が押さえて解析に回した。
で、「特定のサーバ」を分析したら「接続してきた感染端末のドメイン名がリストにマッチしたら第二段階の攻撃を行う」ようになっていて、さらに「第二段階の攻撃が複数台に対して実行された痕跡が確認できた」というのがこのニュース。

第二段階の攻撃ってのは最初に侵入したマルウェアがその第二段階用のマルウェアないし攻撃指令を実行する処理のこと。
「特定のサーバ」はリストにマッチしない相手には攻撃用の返答をしないので、最初に送信された情報の収集以外の行動を行わない。

標的内でしか行動しないボットネット端末みたいなもので、第二段階の攻撃も感染端末に対して行われる。
それを受けた感染端末が更に別の組織や組織内での攻撃を行うかどうかはまた別の話。