ガンブラーウイルスについての誤った情報にご注意ください。
|
ＪＲ東日本、ラジオ関西、ホンダ自動車、信越放送、ローソン、京王電鉄、民主党東京都総支部、モロゾフ、野村不動産、ハウス食品など、これらの改ざん被害でページに埋め込まれた不正なコードは、日本のサイト改ざんウォッチャー（？）から「8080」と呼ばれているものです。 ページに埋め込まれた不正なコードによって導かれるURLアドレスが「ｈttp://*****.ru:8080/ 〜」となっていて、そこからウイルスなどが降ってくるのに由来します。 ただ、様々なメディアで今回の改ざんを「ガンブラーウイルス」（の亜種）として紹介してる影響か、昔の古い情報や対策方法をのせてしまってる個人ブログも結構多い感じです。誤った情報を鵜呑みにして被害に巻き込まれては困るので、いくつかピックアップしときます〜。  × 単にウイルス対策ソフトを導入すればよい今回の改ざんでウイルスの発動手段としてソフトウェアの脆弱性（ぜいじゃくせい）を悪用するので、まず最初にそれをふさがないと根本的な対策になりません。ウイルス対策ソフトは、ソフトウェアの更新などを代わりに行ってくれません。（⇒ ウイルスの発動を回避する６つの対策を必ず！）× 単に「Adobe Flash Player」と「Adobe Reader」を最新版にすればよい今回の改ざんで「Adobe Flash Player」は現時点で悪用されてません。（ただ、他の改ざんで悪用されまくってるので最新版にしてください） そして、「Adobe Reader」は、現在最新版にしただけでは解決しません。ゼロデイ攻撃の状態となっていて、最新版で対処されてない脆弱性を悪用する処理が含まれてます。この回避策として、設定でJavaScript機能を無効に切り替える必要があります。 （追記... 2010年1月の更新により解消されましたが、JavaScript機能の無効状態は継続することをお勧めします） あと、今回の改ざんで「Java」も悪用されるので、これを最新版にすることが必須です（名前が似てる「JavaScript」とは別モノ）。導入した覚えがなくても、パソコンを購入した時点であらかじめ導入されてる場合があります。（不要なら「アプリケーションの追加と削除」で削除してしまうのも手） × 感染の確認方法は、sqlsodbc.chmのサイズ確認、regedit.exe/cmd.exeの起動確認･･･これは去年の2009年５月に起こったサイト改ざんの時に提案された古い方法です。たとえば「GENOウイルスまとめ」（www29.atwiki.jp/geno）というサイトは去年の５月以来まったく更新されてないので、ほとんど通用しません。（追記 ... 2010年1月にページが更新され、いちおう最新の情報が掲載されます） 現在確認されてる主な現象は、「siszyd32.exe」というファイルが居座るということです。 × ページが改ざんされてるか確認するには「GENOウイルスチェッカー」このオンラインチェッカー（geno.2ch.tc）は何の役にも立ちません。このサイトも去年の2009年５月以来まったく更新されておらず、この改ざんによる不正なコードはいっさい検出できません。今回の不正なデータが埋め込まれたページをチェックしてみると、「安全なURLです。踏んでも大丈夫でしょう。」という結果が必ず返ってきます。 × 利用してるインターネット閲覧ソフトはFirefoxやOperaなので問題ない悪用されるソフトウェアとして「Adobe Reader」と「Java」が含まれるので、利用してる閲覧ソフトの種類は関係ないです。Windowsパソコンを利用する全ユーザーがウイルス攻撃のターゲットになってます。 いちおう影響がないといえる環境は携帯電話、Mac、Linuxです。 × 日本を標的としたサイバーテロだ日本のサイトだけを狙ったテロではありません。言語関係なく世界中のサイトが被害を受けてます。サイト管理者のパソコンが、FTPアカウント情報（パスワード）を盗むウイルスに感染したのが原因です。・Web サイト改ざん及びいわゆる Gumblar ウイルス感染拡大に関する注意喚起 （JPCERT/CC） ・新手の正規サイト改ざん(2)：一般ユーザーの方、サイト管理者の方へ （So-net セキュリティ通信） |
コメント（3）
