ベストアンサー

CODERED.A

2001/08/07 14:49

フレッツISDNで、Win2000Serverをつなぎっぱなしにしています。どうやらCODERED.Aのアタックを受けているらしいのですが、ログをみると PCを落としている時間にログがはかれています。どういうことなのでしょうか？一応最新のパッチをあて、トレンドマイクロ社のツールでチェックをしたのですが、それが昨日のことなので、もしかしたら感染しているかも、と心配です。感染しているかどうか、どうすれば明確にできますか？トレンドマイクロ社のチェックツールでは大丈夫だというメッセージが出ているのですが、いろんな亜種も出ているようなので、それを信用していいのでしょうか。参考までにIISログを掲載しておきます。 http://www.geocities.co.jp//HeartLand-Cosmos/4223/iislog.txt

saya9999
お礼率73% (28/38)

ネットワーク
回答数4
ありがとう数4

みんなの回答 （4）
専門家の回答

質問者が選んだベストアンサー

ベストアンサー

m_kazu55
ベストアンサー率63% (108/169)

2001/08/08 02:49 回答No.3

最新のパッチをあてていたと言うことですが、「MS01-033」(Q300972_W2k_SP3_x86_ja.exe) をあてていたのであれば、Code Red のアタックを受けても感染することはありません。逆に「MS01-033」をあてていないでIISログにアタックされた形跡があれば、ほぼ100％感染しています。コマンドプロンプトより「netstat -an」と入力すると　　TCP　自ホストのIPアドレス:数字　他のホストのIPアドレス:80 が多数表示されて、ワームが活動中(他ホストに対して攻撃中)であることがわかるはずです。感染していた場合、トレンドマイクロ社のWebサイトに自動駆除ツールがあります。 http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionId=3067 なお、IISログはグリニッジ標準時で記録されるので、日本時間より－９時間で表示されます。そのため、PCが立ち上がっていない時間にログが取られているように見えます。

参考URL：: http://www.microsoft.com/japan/technet/security/prekb.asp?sec_cd=MS01-033

質問者

お礼 2001/08/09 00:50

ご助言ありがとうございます。上記パッチをあてる前のログにもアタックの形跡がありました。パッチあてでは安心できませんね。バックドアを仕掛けられた可能性大のようです。ご進言頂いたトレンドマイクロ社のツールを使用してみます。ですが、やはり万全を期すには再インストールしかないんですかねぇ～。あ～あ。あと、ログの件もご説明ありがとうございました。

ログインすると、全ての回答が全文表示されます。

その他の回答 (3)

m_kazu55
ベストアンサー率63% (108/169)

2001/08/08 16:59 回答No.4

もし感染していたとしても、すでに駆除済みだと思いますが、念のため感染しているかの見分け方を補足します。・メモリに常駐しているかの確認 [Ctrl]+[Alt]+[Delete]を押して[タスクマネージャー]の「プロセス」に「explorer.exe」というプロセスが２つある場合は、どちらかが「CODERED.C」です。・ファイルに感染しているかの確認コマンドプロンプトから、「attrib c:\explorer.exe」と入力して「 SHR EXPLORER.EXE C:\EXPLORER.EXE」が戻ってきた場合は、ファイル感染してます。

質問者

お礼 2001/08/09 00:46

ご回答、ありがとうございます。幸いにもどちらも存在しませんでした。

ログインすると、全ての回答が全文表示されます。

selenity
ベストアンサー率41% (324/772)

2001/08/07 17:34 回答No.2

IISのログが残っているようなので、十中八九感染しているでしょう。最新のパッチではありません。 CodeRed対策は「MS01-033」のパッチを適用し、 OSの再起動をしない限り何度でも感染します。できればフォーマットしてOSの再インストールをお薦めします。 (どんなバックドアを仕掛けられたか不明なため) この手の話はやはり開発元のサイトを見るのが一番です。