ClamAVでマルウェアをスキャンしてみた。

Fedora Core 5にアンチウイルス（ClamAV）をインストール。

# wget http://freshmeat.net/redir/clamav/29355/url_tgz/clamav-0.93.tar.gz
# tar xvzf clamav-0.93.tar.gz
# cd clamav-0.93
# useradd -d /usr/share/clamav -s /sbin/nologin clamav
# ./configure --prefix=/usr --sysconfdir=/etc
# make
# make install
# vi /etc/freshclam.conf

# Comment or remove the line below.
#Example　←コメントアウト

クーロンで1時間毎にシグネチャ更新。
0 0-23/1 * * * /usr/bin/freshclam


Nepenthesで収集した203個のマルウェアをスキャンしてみた。

clamscan --infected --remove --recursive /tmp/malware/

うち18個は検知できなかった。

Nepenthes 0.2.2

VMwareで運用中のハニーポット Nepenthesをバージョンアップ。　0.2.0 -> 0.2.2.

# wget http://nchc.dl.sourceforge.net/sourceforge/nepenthes/nepenthes-0.2.2.tar.gz
# tar xvzf nepenthes-0.2.2.tar.gz
# cd nepenthes-0.2.2
# ./configure
# make
# make install

ついでに、VMware Toolsもバージョンアップ。

# rpm -e VMwareTools-5.5.5-56455
# mount /dev/cdrom /media
# cd /media
# rpm -ivh VMwareTools-5.5.6-5.5.6-80404.i386.rpm

以前より気になっていたVMwareの問題（時刻ズレ）を、cronで5分毎にntpdateすることで改善。

*/5 * * * * /usr/sbin/ntpdate clock.nc.fukuoka-u.ac.jp; /sbin/hwclock --systohc

現在のところ、収集された検体数は184個。

IFRAMEリンクの埋め込みツール？

最近流行ってる、SQLインジェクションで　www . 2117966 . net　へのリンクを埋め込む攻撃ですが、どうやら中国製のツール「暗黒工作組」を使ってるらしい。
さっそく　www . cuteqq . cn　より入手してテストしようとしたが、、、中国語読めない。断念。