Gumblar（GENOウイルス）再来襲。いろいろＱ＆Ａ集。

　このＱ＆Ａ集は2009年の古い情報です。現在では通用しない情報がたくさん含まれてます。2010年の最新情報はコチラの記事！！！

---

　2009年5月に騒動となったウェブ改ざん「Gumblar/ガンブラー」（通称「GENOウイルス」）が10月〜に舞い戻ってきました。

Ｑ. 何が起こってるのですか？

　普通の一般サイトに不正なデータが挿入されてます。そのようなサイトは、会社サイトから個人サイトなど様々で、サイトのジャンルや言語は関係ありません。（セキュリティ会社のカスペルスキー調べだと、日本では約3,000件、世界では約76,000件）

Ｑ. 不正なデータが挿入されたページを訪問すると何が起こりますか？

　何ら対策をしてないWindowsパソコンは、ユーザーの意思関係なくウイルス（実行ファイル）が発動してしまう恐れあります。発動するウイルス名は、セキュリティ会社によって違い、「Daonol」「Kates」「Lando」「Infostealer」「TROJ_DELF」「TSPY_KATES」というような名前が付けられてます。（検出名と駆除ツールは下参照）

Ｑ. なぜ不正なデータが普通の一般サイトに挿入されてるのですか？

　ホームページの更新に利用してるWindowsパソコンが上のウイルスに感染します。このウイルスは、FTPのアカウント情報（パスワード）を盗む機能があるため、その情報を元に攻撃者によって不正なデータが挿入されます。

Ｑ. 不正なデータが挿入されたページは見た目で分かりますか？

　インターネット閲覧ソフト（Internet Explorer、Firefoxなど）で単純にページを表示しただけでは、外見上の違いはないのでまったく分かりません。ページのHTMLソースを見ると判断できます。（オンラインチェッカーの対応状況についてはコチラ）

Ｑ. ページに挿入される不正なデータは具体的にどういうものですか？

　挿入されるデータは、「JavaScript」（Javaとは無関係）のコードで、挿入位置は”BODYタグ”の直前になります。コチラで改ざんチェック方法と日本のサイトの実例をのせてます。

Ｑ. どのくらい騒ぎになってますか？

　「Gumblar」をキーワードにGoogleニュースを調べると、様々なニュースサイトで報じられてます。また、この影響でパソコンメーカーの問い合わせ窓口が混雑する事態も起こってます（注意喚起）。

Ｑ. ページを閲覧しただけでウイルスに感染するのはよくあることですか？

　最近、頻発している脅威です。セキュリティ用語では「ドライブバイ ダウンロード」といいます。普通の正規サイトに不正なデータを埋め込むことで、『自分は怪しいサイトに行かないから大丈夫！』と思い込んでる人が釣られてしまうことになります。

Ｑ. 「Gumblar」という名前の由来は？

　「Gumblar」（読み方はガンブラー）は、5月の騒動の時、攻撃者が用意したサイトのドメイン名「gumblar.cn」に由来します。このサイトに強制的にアクセスさせる不正なデータがたくさんの一般サイトに挿入されました。
　10月の再来襲では、このドメインは特に関係ありませんが、攻撃手法が似てるため、同じ攻撃者によるものと考えられます。

Ｑ. 「GENO」という名前の由来は？

　5月の騒動の時、初期段階で改ざん被害を受けた日本のオンラインショッピングの会社名です。事後対応の不手際が話題になり、日本ではウイルスの通称名になってしまいました。（これを揶揄したアンサイクロペディアのジョーク記事）

Ｑ. ウイルス対策ソフトをちゃんと導入してるので心配ないですか？

　発動するウイルスは、攻撃者によってかなり頻繁に差し替えられてます。セキュリティ会社はそれを後手後手の形で必死に対応していってる状況です。ウイルス対策ソフトがめでたく検出に対応した時、発動することになる攻撃元のウイルスはすでに別ファイルになってます。
　この「Gumblar」（GENOウイルス）に限れば、ウイルス対策ソフトを過信すると痛い目にあうと思ってください。（もち素っ裸状態ではもっと危険です。無料のものでもいいでの必ず導入を）

Ｑ. MacやLinux、携帯電話は何か影響しますか？

　このGumblar（GENOウイルス）に限れば、攻撃のターゲットはWindowsパソコンのユーザーさんです。

Ｑ. 結局何をしとけばいいですか？

　コチラでも紹介してる対策を必ずゼッタイにやっておいてください。これがちゃんと行われていれば、この「Gumblar」（GENOウイルス）によるウイルスの発動を回避できます。逆に言えば、対策のうち１つでも欠けていれば、ウイルスが問答無用で発動してしまう恐れがある危険な状態になってます。

☆ Gumblar（GENOウイルス）再来襲の最新情報はコチラ！

---

◆ 主なウイルス検出名
・シマンテック
　Infostealer.Daonol
・トレンドマイクロ
　TROJ_DELF.WQD TSPY_KATES.B TSPY_KATES.SMOD TSPY_KATES.C TSPY_KATES.SMB TSPY_KATES.SMM TSPY_KATES.AG TROJ_KATES.BD TSPY_KATES.AN TSPY_KATES.AL TSPY_KATES.AJ TSPY_KATES.AI
・マカフィー
　Generic PWS.df Lando
・マイクロソフト
　Trojan:Win32/Daonol.I Trojan:Win32/Daonol.D Trojan:Win32/Daonol.G

◆ 専用ウイルス駆除ツール （→ 関連）
・カスペルスキー「Trojan-PSW.Win32.Kates removing tool」 （KatesKiller.exe）
・マカフィー「Stinger」 （stinger.exe）
・アンラボ「39番 Win-Trojan/Daonol.Gen」 （v3daonol.exe）