1. watchA/cloudflare/乗取/ethan
前日(3/5)にはzoneなしだったのが、突然ethan+elinoreがactive返答をするようになったこと。 delegation NSはethanではない。howard型との大きな違いだ。 delegation updateはzoneの変更日時より古い。
- 直前のactive化は否定はできないが、やれる時間が短い。
同一者に属するドメインとは思えない。(つまり、乗取型を疑う。)
logan+maya --> ethan+ elinore 15件 (元々logan+mayaは多い)
- その他 41件 SOA 2033516748 -- 2033516738 (3月6日?)
| /0401 /carsinphuket.com /ceramopole.com /charliesbeautytherapy.com /chinahaosf.com /chrisgrabo.com |
乗取を強く疑っているドメインを43件集めた。
- 手口が分からない。非公開の機能を使っているのか、内部の人間か。
なぜ、c で始まるドメインしかないのか。(hankも同じだ。)
Contents
あらたな手法によるハイジャック?かも。../hank とよくにている。
(../konnorドメインと同じ手口か)
すべて、昨日(3月5日)まではREFUSEDを返していたドメイン名 43個だが、 今日にはactive (['elinore.ns.cloudflare.com', 'ethan.ns.cloudflare.com']) になっている。
- 登録NSとは異なるNSセットだ。whoisは更新されていない。 同一アカウントが管理するドメインには見えない。
-- ToshinoriMaeno 2020-03-06 02:35:00
2月17日以降ゾーンなしだったと確認できた。
1月6日まで、遡ってゾーンなしが記録されている。/ceramopole.com
carrolltonfireextinguisher.com carsinphuket.com celalturan.com ceramopole.com chimneyrepairsca.com choosehealthforever.com chrislincolnhomes.com chubbycentral.com
どうやると、こんな設定(active化)ができるのか。(無料では無理)
1.1. active
delegationと一致させなくとも、activeにする方法があるのか。
- activeにできたとすれば、この返答は納得できる。
でも、どうやってactiveにしたのか。
SOA 2033516574 -- 2033516810 (2400秒間、40分か)
whois更新は 3月3日以前に行われている。
elinore, ethanの持ち主は? 委譲登録しているドメインがあるか、調べる。
- elinoreを登録しているドメインは2500個あまりあったが、ethanとの組は存在しない。
caspian30.com castoresventas.com catalanaoccidente-seguros.com cbdhealthpros.com ccad2005.com cedarforkinvestment.com cedarrockwood.com cedarservicesvip.com celalturan.com cellblock303.com cellvin.com ceramopole.com cerca-de-mi.com charlesrutenbergconcierge.com charlestonkiteboarding.com charliemanning.com charliesbeautytherapy.com charlottedelegation.com chataboutrealestate.com chateoconcam.com checkmatebasketball.com cheekydraws.com cheerdancefitcamp.com chicago-architects.com chicagochinaclub.com chicagolandscapearchitects.com chicmining.com chimneyrepairsca.com chonsimhoptuoi.com choosefranchising.com choosehealthforever.com chrisgrabo.com chrislincolnhomes.com christheseoguy.com christie-remedialaroma.com christofverheyen.com christoph-balmer.com chromespecs.com chubbycentral.com chuyenlamvuon.com ci-li.com cigarwarehousenv.com cillaswhatnotshop.com