[spam] List B-2: Jacked sites, and Spam domains

  • ページ: BugTrack2
  • 投稿者: henoheno
  • 優先順位: 普通
  • 状態: 提案
  • カテゴリー: その他
  • 投稿日: 2007-01-01 (月) 21:07:43
  • バージョン:

関連

  • BugTrack2/200: [spam] URI spamフィルタ (Part 1) とブロック機構
  • BugTrack2/207: [spam] badhost: A list of URI redirection or masking services

メッセージ

spamを送信する側の手口として、以下のカテゴリに該当するものについてまとめます。

  1. 他者のサイト、システム、ないしコンテンツを乗っ取る (あるいは、善意の第三者が立てた様に見せた脆弱なサイトを構築してそれを使う)
  2. スパム専用のドメインを取得する

コメント: オンラインゲーム関係のWiki関係

  • 某国方面からのアカウントハッキングの標的になっているゲーム関連のWikiを管理しております。
    攻撃的spamが目に触れる状態になることが利用者の被害*1に直結している状態のため、関係者団体や、有志で積極的にblockリストをメンテしています。
    成果物みたいなもの(Yブロックが独自追加分)があるのですが、こうゆうのはなんかの参考にならないでしょうか。-- Ymlpha? 2007-03-06 (火) 02:39:59
    • 情報ありがとうございます。そちらのリストと、ragnarok/1170419695/1-701 と、 smith.xrea.jp/?Security のリストは反映させていただきました。判断がつかずに掲載していないものもあります*2し、調査した結果さらに追加したものもあります。分類やグルーピングの仕方、残している情報なども違います。これについては、どのように記録/維持すべきかまだ検討しながら進めています*3。オンラインゲームのまとめサイトの管理者の方は、いまURI追加型spamで一番苦労されていると思います。現状のこの仕組みで、負担を多少和らげる事はできるかもしれませんが、残念ながら複数のサイトで情報を共有するような部分はまだありません。しかし、必要があったからこそとはいえ、複数のサイトで運営担当の方が情報やノウハウを共有しようという動きになっているというのは、(こうした欠点をカバーするだけでなく、それ以上のメリットが見込めるため)素晴らしい事だと思います。 -- henoheno 2007-03-12 (月) 01:20:59
  • オンラインゲームを標的とした spamの場合、BSWikiさんのリストにもあるように、特定のIPアドレス(範囲)に集中していますので、そうゆう方面から攻めることができたらある程度先回りできていいなぁと模索しているところです。 -- Ymlpha? 2007-03-21 (水) 00:11:39
    • (恐らくは攻撃側のコスト的な都合によって)複数の危険なドメインが同じIPを指すことがあるようなので、「リンク先のホストのIPアドレス」が、既存の「危険と認定されたホスト」のIPアドレスと同一かどうかをチェックすることで、同じ意図によって運営されているグループであるかどうかを推測(探索)する手法についてですね。 -- henoheno 2007-03-21 (水) 10:28:20
    • 完全自動とはならない要素がいくつかあります。今思いつく一つは、攻撃側が、彼らが運営しているホストを直接晒さずに、BugTrack2/207 にあるような redirection サイトや、既存の脆弱なサイトを踏み台として使ってきた場合です。機械的にこれらを除外するには、それぞれ別のblocklistにまとめた上で、事前にフィルタ(分離)する機構を作れば、ある程度濃度を高めることができるでしょう。*4 redirectの手法が自明であるredirectionサイトについては、やり方次第で、ある程度その先も追えるかもしれませんが、リアルタイムに実施するにはコストがかかりすぎるでしょう。 -- henoheno 2007-03-21 (水) 10:33:11
    • もう一つは、BSWikiさんの所にもある通りで、同じIPだと言っても同じ経営者であるとは言い切れない事があります。例えば共有型のホスティングサービスであったり、reverse proxyや、dynamic DNS はそうした状況を作り出します。そのため、厳密な判断は(できれば一定の基準に基づいた)人間によるものとなるでしょうし、事故は起こりえます。疑わしい要素の一つとしてカウントする程度にするならば、自動化は可能でしょう。 -- henoheno 2007-03-21 (水) 10:39:44
    • 大変ではありますが、それでもこの手法は魅力的です。spam.ini.phpにリストアップしたホストのIPアドレスを一旦全部調べた後に比較してみれば、もう少し上手なグルーピングができるのではないかと、そう思ったりもしています。 -- henoheno 2007-03-21 (水) 10:41:20
    • DNSサーバーへの問い合わせが必要なので、リアルタイムにこれを実施するのは少々結構ストレスがかかります。 -- henoheno 2007-03-21 (水) 10:47:33
  • とりあえず、5月の連休前の連続スパムの様子を見ると、大半がCHINANET Guangdong province networkで、片っ端から弾いてみたらTelstra Internetを踏み台にアクセス*5してきていましたね。この様子だと7月下旬頃からもあるかも。心配なのは、国内のサーバーを踏み台にしたスパムですね。*6踏み台になっているらしいサーバー:http://stopbadware.org/home/pr_050307 -- Logue 2007-05-11 (金) 18:12:33
  • Wiki spamで事実上サイトが成り立たなくなっている実例
    そのサイトへのリンクを含む新規ページ投稿(blocked)で存在を知ったというのがなんともはや。 -- Ymlpha? 2007-05-20 (日) 12:24:00


コメント



*1 PC再インストールなど駆除の手間やゲーム内財産
*2 どうしても差はできますから、独自の除外リストは、今後も維持されると良いと思います
*3 例: 時刻をいくつか記録する必要があるだろうけれども、現行のままでは管理負荷が高くなりすぎる
*4 ある程度大雑把に分類されているけれど、まだ分割されていないサンプルが1つ存在している事をご存知だと思います :)
*5 IPが漏れていたプロクシだったので判明
*6 参考:http://www.youtube.com/watch?v=1FPky3IfHe4

トップ   編集 凍結 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2009-03-14 (土) 14:10:54
Site admin: PukiWiki Development Team

PukiWiki 1.5.2+ © 2001-2019 PukiWiki Development Team. Powered by PHP 5.6.40-0+deb8u7. HTML convert time: 0.216 sec.

OSDN