最近よく添付ファイル付きのspamメールを受信するのでサンプルを取っているが、自宅のVBがこれをスキャンしても警告する事はない。
しかし、職場で使っているSEPには何度かお叱りを頂いたうえにサンプルを召し上げられた。
メールソフトや動作条件も違うので一概には比較できないが、この差はどこから来ているのか？
最近解析した添付ファイルは、最終的に起動されるスクリプトがランダムに１～3文字に細切れになっており、ややこしいステップを経て組み立てて実行するようになっている。 この組み合わせの種類は天文学的な数になるのでパターンで検知することは難しいだろう。
作るのは簡単だが、SEPがこれをどうやって検知しているのか。
2017年1月29日日曜日
車のハイパー電圧安定器
車の燃費の向上とか馬力アップを謳った電圧安定器というものを売っているのは昔から知ってた。まあかなり怪しいので手を出す気は無かったが、中身は何だろうと昔から気になっていた。
そしたら中身が出ているのをYouTUBEで見付けた。次の動画の32分目あたり位から始まる。
https://www.youtube.com/embed/t-vNo6H5gww?feature=player_embedded
謳い文句は、
・馬力とトルクの向上
・ スロットルレスポンスの向上
・オーディオサウンドの向上
・バッテリー寿命を延ばす
・燃費の向上
・ヘッドライトの明るさの増加
・ Ignition Flow??? の改善とスターティングパワーの向上
・電圧の安定化とエンジンパフォーマンス改善
・耐水・耐熱構造
ととってもご立派だが、中身を 見ただけでクソとわかる。
この製品の主要回路はは０Ωの抵抗と4700uF25Vのコンデンサが直列に繋がっているだけ、200円程度だろうか。あとLEDとシャント抵抗、そのほか意味の無い部品数点。素人の半田付け。部品ではケースが一番高そう。
やっぱりな、。
そしたら中身が出ているのをYouTUBEで見付けた。次の動画の32分目あたり位から始まる。
https://www.youtube.com/embed/t-vNo6H5gww?feature=player_embedded
謳い文句は、
・馬力とトルクの向上
・ スロットルレスポンスの向上
・オーディオサウンドの向上
・バッテリー寿命を延ばす
・燃費の向上
・ヘッドライトの明るさの増加
・ Ignition Flow??? の改善とスターティングパワーの向上
・電圧の安定化とエンジンパフォーマンス改善
・耐水・耐熱構造
ととってもご立派だが、中身を 見ただけでクソとわかる。
この製品の主要回路はは０Ωの抵抗と4700uF25Vのコンデンサが直列に繋がっているだけ、200円程度だろうか。あとLEDとシャント抵抗、そのほか意味の無い部品数点。素人の半田付け。部品ではケースが一番高そう。
やっぱりな、。
Peek-a-Boo
Peek-a-booを検索するとヘアサロンが上位に出てくる。ケーキ屋とか幼稚園とか出てくるが昨年忘年会で使ったダイニングバーはなかなか登場しない。
元々 Peek-a-Boo とは「いないいないばー」という赤ちゃんをあやす言葉らしい。
私がこの言葉を知ったのは Kate Bush の Hello Earth の歌詞からだ。
この Hello Earthの歌詞は2つの場面が錯綜していて分かりにくく、解釈には幾つかの説があるようだが個人的に感じるのは、宇宙から地球に帰還しつつある宇宙船の中から見たアメリカの風景と、安らかに眠っている子供を乗せ自宅へ向かう車の中からふと見上げた夜空を通り過ぎてゆく核ミサイルの情景だ。 アメリカ上空には核爆発の嵐が広がり海まで達しようとしている。
たぶん東西冷戦の時代に作られた歌だが、いま某国のチキンレースで歌と同じ事が起こりそうな世の中になってきたと感じる今日この頃である。念仏を唱えて世の中が平和になるとは思っていないが、どうしたもんじゃろうなぁ？
元々 Peek-a-Boo とは「いないいないばー」という赤ちゃんをあやす言葉らしい。
私がこの言葉を知ったのは Kate Bush の Hello Earth の歌詞からだ。
この Hello Earthの歌詞は2つの場面が錯綜していて分かりにくく、解釈には幾つかの説があるようだが個人的に感じるのは、宇宙から地球に帰還しつつある宇宙船の中から見たアメリカの風景と、安らかに眠っている子供を乗せ自宅へ向かう車の中からふと見上げた夜空を通り過ぎてゆく核ミサイルの情景だ。 アメリカ上空には核爆発の嵐が広がり海まで達しようとしている。
たぶん東西冷戦の時代に作られた歌だが、いま某国のチキンレースで歌と同じ事が起こりそうな世の中になってきたと感じる今日この頃である。念仏を唱えて世の中が平和になるとは思っていないが、どうしたもんじゃろうなぁ？
2017年1月28日土曜日
SPAMとspam
BBC製作のモンティ・パイソンを知っている私は相当年寄りなんだろう。私は学生時代に下宿で見ていたように思う。
そしてspamの語源はこのコントである。全ての料理にSPAMが入っているレストランの風景だ。こんなシーンがあったのは覚えている。
https://www.youtube.com/watch?v=_bW4vEo1F4E
昔見たときには、この面白さが半分も分からなかったが、最近、SPAMの発音が別の意味の単語に近くdouble meaningのコントだと知って腑に落ちた。よく聞くと微妙に違う発音を使い分けているようにも思える。警官が登場するのも納得だ。
SPAMを作っている会社は大文字をSPiced hAMの意味で、メールのスパムをspamと小文字で表現するように求めているらしい。
(その後)
警官が登場するコントの後半がカットされ見られなくなっているのはYouTubeの規制なのか。
corega BAR SW-4P Pro に光を
職場のインターネットアクセスルータの調子が悪い。メールは細々と通っているがpingは両側とも50%以上ロスし、WEBは壊滅状態。古いアライドなので寿命が来ているのだろう。
予備も無く調達には時間がかかるようで私を含めて皆さん困っている。そこで我が家にcorega BAR SW-4P Proがあるのに気付いた。
なにぶん10年ほど前に我が家でYahooBB用に使っていたものだが電源を入れてみると大丈夫みたいだったので早速職場に持ち込んで交換してみた。
プロバイダから提供された設定情報で設定してみる。どうも整合がとれないパラメータもあるが、あれこれやっているうちのとりあえずPPPoEでプロバイダとの接続は出来た。Pingは通るがWEBが見れないしメールも通らない。DNSも引けないようだ。公開しているWEBも外から見られない。
うちはプロバイダからグローバル8IPの割り当てを受けWEBもl公開しているが、このルータは家庭用なので１IPにしか対応していないのだろう、あと致命的なのはNAPTを無効化できずインターネット側からのコネクションを通さないようだ。簡易FWの機能はあるが８IPには対応できない。つまりいろいろ機能はあるが、単純なルータとして使うには不十分。
ここであきらめた。
が、何気なくcoregaのサポート情報を見ていたら、ファームをアップグレードするとグローバル8IPに対応できるらしい。いわゆるUnnumbered PPPoEというやつだ。たぶんプロバイダのUnnumberedサービスが出て、スモールオフィス対応のため後追いで機能が追加されたのだろう。
ルータに新しいファームを入れてで起動してみると、メニューが変わりプロバイダの設定情報がピタリと当てはまる。実際にインターネットアクセスルータとして使ってみるとうまく機能した。
ただ、ログ表示機能が無くなったのは残念。
このルータの性能は100Mbpsまでないと思うが、当面これで凌ぐことが出来る。
ところで、ネットで検索するとcoregaって、他の数社と共に評判悪いんだねぇ、私は全く気にしていないけど。
予備も無く調達には時間がかかるようで私を含めて皆さん困っている。そこで我が家にcorega BAR SW-4P Proがあるのに気付いた。
プロバイダから提供された設定情報で設定してみる。どうも整合がとれないパラメータもあるが、あれこれやっているうちのとりあえずPPPoEでプロバイダとの接続は出来た。Pingは通るがWEBが見れないしメールも通らない。DNSも引けないようだ。公開しているWEBも外から見られない。
うちはプロバイダからグローバル8IPの割り当てを受けWEBもl公開しているが、このルータは家庭用なので１IPにしか対応していないのだろう、あと致命的なのはNAPTを無効化できずインターネット側からのコネクションを通さないようだ。簡易FWの機能はあるが８IPには対応できない。つまりいろいろ機能はあるが、単純なルータとして使うには不十分。
ここであきらめた。
が、何気なくcoregaのサポート情報を見ていたら、ファームをアップグレードするとグローバル8IPに対応できるらしい。いわゆるUnnumbered PPPoEというやつだ。たぶんプロバイダのUnnumberedサービスが出て、スモールオフィス対応のため後追いで機能が追加されたのだろう。
ルータに新しいファームを入れてで起動してみると、メニューが変わりプロバイダの設定情報がピタリと当てはまる。実際にインターネットアクセスルータとして使ってみるとうまく機能した。
ただ、ログ表示機能が無くなったのは残念。
このルータの性能は100Mbpsまでないと思うが、当面これで凌ぐことが出来る。
ところで、ネットで検索するとcoregaって、他の数社と共に評判悪いんだねぇ、私は全く気にしていないけど。
2017年1月23日月曜日
最近 spam ってますねぇ
先週今週と立て続けに職場で spam メールを受けた。
数年前にも同じような事があったと思うが、うちがターゲットになっているのかなぁ。
日本語が怪しいので外国から来ているのだろう。
それにしても、どうやってメールアドレスを入手したのか、To:にはすでに退職した人も付いていた。
受けた6通のうち最初の2通はファイアーウォールで検知され添付ファイルを削除されていたが残り4通はそのまま届いたので spam がどんなカラクリが気になり少し解析してみた。
何れも添付ファイルはBASE64エンコードされたZIPファイルである。
先ず3，4通目のメールのBASE64の部分を取り出してデコードした。
それをダンプしてみると、最初の部分は
0000: 50 4b 03 04 14 00 02 00 08 00 c9 01 32 4a 49 dd *PK..........2JI.*
0010: e4 9d ee 91 00 00 14 13 02 00 14 00 00 00 30 30 *..............00*
0020: 39 36 37 39 39 39 35 34 33 2d 28 30 32 29 2e 73 *967999543-(02).s*
0030: 76 67 ec bd 57 97 eb 4a 96 26 f6 3e bf a2 54 af *vg..W..J.&.>..T.*
などとなっており、ZIPファイルの中身はsvgファイルである。
svgファイルは一見画像ファイルであるが中身にはプログラムが書ける。
ZIPファイルを解凍してsvgを取り出し,覗いてみると、画像データが続いた最後の部分にjavascriptのプログラムが入っていた。
その大部分は断片化したプログラムの一部を返す次のような関数であり、最後にそれらを結合して実行する部分が来る。
function zokfma() {
var uhunh = "ku";
var alwomjozj = "ow.l";
return alwomjozj;
}
関数名や変数名はみんなデタラメであり、また実行されない目くらましの記述も多く含まれ、カムフラージュするためのソフトで作ったのだろう。
起動（表示）1秒後にスクリプトが実行されるようになっている。
その中身は、とある（たぶんハッキングされた）サイトからxfs_extension(dot)exeという実行ファイルを取ってきて実行するようになっている。2通は関数名や断片化の仕方は全く違ったが最後に組み立てて実行されるプログラムは同じだった。
そして本日届いた2通である。
基本的に同じような作りであるが、ZIPファイルに入っているのは jpg偽装されたjavascriptであり、画像データはない。断片化されたものを繋げてみると、Windows Scriptを使ってpowershellを実行し、ドイツのサイトからoutloo(dot)exeを取ってきてWebClientとして常駐させるようである。
さすがにexeファイルを取ってきて解析する気はないが、ここまで見ても対策ソフトに引っかからないように努力している様子は面白い。これをパターンで検知するのは難しいだろうなぁ。牢獄（砂箱）の中で実行させるようなチェック方法をとらないと。
これまでにも自宅にも多くの同じような spam メールがきており、その後も続いている。全て某機関に報告しているが、いったい誰が何のためにやっているのか。
数年前にも同じような事があったと思うが、うちがターゲットになっているのかなぁ。
日本語が怪しいので外国から来ているのだろう。
それにしても、どうやってメールアドレスを入手したのか、To:にはすでに退職した人も付いていた。
受けた6通のうち最初の2通はファイアーウォールで検知され添付ファイルを削除されていたが残り4通はそのまま届いたので spam がどんなカラクリが気になり少し解析してみた。
何れも添付ファイルはBASE64エンコードされたZIPファイルである。
先ず3，4通目のメールのBASE64の部分を取り出してデコードした。
それをダンプしてみると、最初の部分は
0000: 50 4b 03 04 14 00 02 00 08 00 c9 01 32 4a 49 dd *PK..........2JI.*
0010: e4 9d ee 91 00 00 14 13 02 00 14 00 00 00 30 30 *..............00*
0020: 39 36 37 39 39 39 35 34 33 2d 28 30 32 29 2e 73 *967999543-(02).s*
0030: 76 67 ec bd 57 97 eb 4a 96 26 f6 3e bf a2 54 af *vg..W..J.&.>..T.*
などとなっており、ZIPファイルの中身はsvgファイルである。
svgファイルは一見画像ファイルであるが中身にはプログラムが書ける。
ZIPファイルを解凍してsvgを取り出し,覗いてみると、画像データが続いた最後の部分にjavascriptのプログラムが入っていた。
その大部分は断片化したプログラムの一部を返す次のような関数であり、最後にそれらを結合して実行する部分が来る。
function zokfma() {
var uhunh = "ku";
var alwomjozj = "ow.l";
return alwomjozj;
}
関数名や変数名はみんなデタラメであり、また実行されない目くらましの記述も多く含まれ、カムフラージュするためのソフトで作ったのだろう。
起動（表示）1秒後にスクリプトが実行されるようになっている。
その中身は、とある（たぶんハッキングされた）サイトからxfs_extension(dot)exeという実行ファイルを取ってきて実行するようになっている。2通は関数名や断片化の仕方は全く違ったが最後に組み立てて実行されるプログラムは同じだった。
そして本日届いた2通である。
基本的に同じような作りであるが、ZIPファイルに入っているのは jpg偽装されたjavascriptであり、画像データはない。断片化されたものを繋げてみると、Windows Scriptを使ってpowershellを実行し、ドイツのサイトからoutloo(dot)exeを取ってきてWebClientとして常駐させるようである。
さすがにexeファイルを取ってきて解析する気はないが、ここまで見ても対策ソフトに引っかからないように努力している様子は面白い。これをパターンで検知するのは難しいだろうなぁ。牢獄（砂箱）の中で実行させるようなチェック方法をとらないと。
これまでにも自宅にも多くの同じような spam メールがきており、その後も続いている。全て某機関に報告しているが、いったい誰が何のためにやっているのか。
登録:
投稿 (Atom)