Gumblar.xの攻撃が続いている。
Visruslist.com によりシステムの全体像がさらに解析された（上図）
http://www.viruslist.com/en/weblog?discuss=208187897&return=1
http://www.viruslist.com/en/weblog?discuss=208187897&return=1
ところで、ある方より、Gumblar.xにやられた２つのサーバーのFTPのログをいただいた。
いずれも「やられ２群」で、上の図とUnderForgeの補足では、Redirector & Infector(A) である。
また、侵入してきたアドレスは、Injectorである。
また、侵入してきたアドレスは、Injectorである。
手口は、パスワードのもれたFTPのアカウントを使って、
・WEBサーバーに、FTPでアクセスされる。
・FTPで、ファイルが片っ端からダウンロードされる。
・随時、改ざんされたhtml, php, jsのファイルが書き戻される。
・FTPアクセス終了。
・FTPで、ファイルが片っ端からダウンロードされる。
・随時、改ざんされたhtml, php, jsのファイルが書き戻される。
・FTPアクセス終了。
である。
攻撃履歴：
●サーバー１
elbiahosting.sk10/Nov/2009:00:35:49 +0900●サーバー２
mail1.pdx.hu10/Nov/2009:15:19:24 +0900
web13.alojamentos13.com11/Nov/2009:07:22:39 +0900
216.81.77.19212/Nov/2009:02:09:41 +0900
216.81.77.19212/Nov/2009:02:14:42 +0900
BSN-142-194-177.static.dsl.siol.net12/Nov/2009:21:57:58 +0900
64.34.164.5913/Nov/2009:15:25:14 +0900
helium.lunarpages.com14/Nov/2009:10:50:14 +0900
89.149.197.24515/Nov/2009:03:56:25 +0900
hummer.websitewelcome.com15/Nov/2009:22:22:35 +0900
infong501.lxa.perfora.net16/Nov/2009:00:56:32 +0900
infong209.kundenserver.de16/Nov/2009:05:00:19 +0900
s409.sureserver.com16/Nov/2009:09:33:39 +0900
superultra25.uk2.net13/Oct/2009:13:57:06 +0900
indisoftware.de14/Oct/2009:15:43:26 +0900
201.220.128.4215/Oct/2009:06:17:59 +0900
bariloche.dattaweb.com16/Oct/2009:05:33:49 +0900
vs2.persiantools.com17/Oct/2009:06:35:31 +0900
174.139.8.23418/Oct/2009:01:46:25 +0900
web13.alojamentos13.com18/Oct/2009:19:38:54 +0900
canto.websitewelcome.com19/Oct/2009:15:27:33 +0900
nextlogin.com20/Oct/2009:08:51:25 +0900
secure.agriserver5.com21/Oct/2009:02:06:38 +0900
fit.websitewelcome.com21/Oct/2009:18:30:53 +0900
south.host-care.com22/Oct/2009:10:45:01 +0900
web108.opentransfer.com23/Oct/2009:02:50:35 +0900
pravoverie.com23/Oct/2009:19:16:49 +0900
quest.securenet-server.net24/Oct/2009:11:35:42 +0900
web108.opentransfer.com25/Oct/2009:04:24:08 +0900
web108.opentransfer.com25/Oct/2009:04:31:00 +0900
scuderia.websitewelcome.com25/Oct/2009:21:57:04 +0900
levin.websitewelcome.com26/Oct/2009:15:24:21 +0900
seoul.directrouter.com27/Oct/2009:07:33:59 +0900
mail1.pdx.hu27/Oct/2009:23:36:03 +0900
93.89.16.11028/Oct/2009:14:47:16 +0900
93.89.16.11028/Oct/2009:14:52:17 +0900
93.89.16.11028/Oct/2009:14:57:19 +0900
seismo.hostasaurus.com29/Oct/2009:05:47:07 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:17 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:22 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:27 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:32 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:37 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:42 +0900
seismo.hostasaurus.com29/Oct/2009:05:50:55 +0900
seismo.hostasaurus.com29/Oct/2009:05:51:00 +0900
paris.servershost.net29/Oct/2009:20:31:55 +0900
diamond.icondev.ro30/Oct/2009:11:28:47 +0900
gator709.hostgator.com31/Oct/2009:02:13:49 +0900
seriouslistings.com31/Oct/2009:17:03:39 +0900
seriouslistings.com31/Oct/2009:17:08:40 +0900
lb1.reg365.net01/Nov/2009:07:36:07 +0900
lb1.reg365.net01/Nov/2009:07:38:03 +0900
lb1.reg365.net01/Nov/2009:07:40:03 +0900
lb1.reg365.net01/Nov/2009:07:42:02 +0900
lb1.reg365.net01/Nov/2009:07:44:03 +0900
lb1.reg365.net01/Nov/2009:07:46:02 +0900
lb1.reg365.net01/Nov/2009:07:48:02 +0900
seismo.hostasaurus.com01/Nov/2009:22:23:22 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:23 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:28 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:33 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:38 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:43 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:48 +0900
seismo.hostasaurus.com01/Nov/2009:22:26:53 +0900
660.bces.de02/Nov/2009:13:09:12 +0900
sopitas.com02/Nov/2009:17:27:56 +0900
server4.unifiedns.com03/Nov/2009:08:30:28 +0900
88.255.51.6004/Nov/2009:07:18:18 +0900
dd18528.kasserver.com04/Nov/2009:22:17:08 +0900
web3.shellrent.com05/Nov/2009:09:37:35 +0900
usec.serverfoundry.com06/Nov/2009:02:04:55 +0900
omicron.lunarpages.com06/Nov/2009:17:14:53 +0900
86.121.60.14507/Nov/2009:08:03:53 +0900
211.49.162.6907/Nov/2009:18:29:18 +0900
infong436.kundenserver.de08/Nov/2009:10:35:42 +0900
acrux.lunarpages.com09/Nov/2009:02:23:52 +0900
mariner.websitewelcome.com09/Nov/2009:17:44:32 +0900
server1.hosttec.com.br10/Nov/2009:08:23:45 +0900
colossus086.startdedicated.com11/Nov/2009:00:05:58 +0900
ganapati.w2iserver.net11/Nov/2009:18:46:53 +0900
linux3.centraldnserver.com12/Nov/2009:11:28:57 +0900
hummer.websitewelcome.com13/Nov/2009:07:13:26 +0900
209.62.1.18613/Nov/2009:13:25:43 +0900
infong596.lxa.perfora.net14/Nov/2009:17:06:57 +0900
host-21-97-126-206.awesomedns.com14/Nov/2009:20:50:43 +0900