[connect24h:01907] Re: source port が ftp-data のスキャン

[Seiichi Nakashima <nakasei@xxxxxxxxxxxx>]

中島です。

私のところにも着ています。

ソースポートが 20 デスティネーションが 5665 の TCP パケットで
全てのアドレスをスキャンしていきました。

=======================================

In message "[connect24h:01904] Re: source port が ftp-data のスキャン",
DANNA wrote...
 >
 >ダンナ＠サポセンです。
 >
 >[connect24h:01901] source port が ftp-data のスキャン
 >> ソースポートが20(ftp-data)で、あて先ポートが5665。
 >
 >tcp/5665 はsshdを改造したバックドアが仕掛けられた場合のリスン
 >ポートとして使われるようです。
 >
 >ちょっとWebを徘徊してそれらしいのを探してきました。rootkitで
 >そういのが存在するらしいですね。
 >
 >> The attackers left behind a tarball called 'shitc.tgz' 
 >> in /usr/bin/.../.terminfo 
 >> There is a modified sshd /bin/fgry which listens on port 5665 
 >> and /bin/in.slogind that listens on port 19000. 
 >
 >+----------------------------------------+
 >  DANNA @ SAPOSEN
 >  e-mail : danna@xxxxxxxxxxx
 >  web site : http://www.hawkeye.ac/micky
 >+----------------------------------------+
 >
 >

----
Seiichi Nakashima  nakasei@xxxxxxxxxxxx