ウェブ改ざんとsdra64.exe

　
　『/*LGPL*/』（『/*GNU GPL*/』）や『/*CODE1*/』の改ざんは、特段大きな動きはないんですが、”べつになんでもないこと”さんの記事「改竄いろいろ」にて提示されてる画像の中で、上の方の生のインラインフレームのコードは、手元のチェッカーのサイト２ヶ所に挿入されてるので、ちょっと追ってみました。

hXXp://4analytics●ws/in.cgi?8
↓ リダイレクト
hXXp://steggba●com/4/index.php

　リダイレクトされると、難読化されたコードが出現します。アクセス制限がかかっていて、２度目はGoogleに飛ばされちゃう。で、その難読化を解除すると、ウイルス本体を発動させるために「Adobe Reader」「Adobe Flash Player」「Java」「Microsoft MDAC」「Microsoft Office Snapshot Viewer」あたりを悪用する処理が出現します。

　AdobeやJavaの処理はソフトウェアのバージョンをきっちりチェックして、読み込ませる不正なデータを生成してます。

http://farm5.static.flickr.com/4032/4287158171_18f612d82d_o.png	http://farm3.static.flickr.com/2743/4287158175_dbf11f1a77_o.png	http://farm3.static.flickr.com/2777/4287158169_3572820f53_o.png

　最終的に発動してしまうウイルス本体は「update.exe」（VirusTotal）で、それによりシステムフォルダに「sdra64.exe」（VirusTotal）が投下されました。検索してみると、海外の銀行関連の情報を盗む目的をもったウイルスみたいですな。（ZeuS/Zbot？）