８０８０系のサイト改ざん攻撃の動き （2010年9月中旬）

■ ８０８０系
　ページの最後尾付近に下のような感じの不正なコードが挿入されます。

<script type="text/javascript" src="ｈttp://●●●.●●●/＊＊＊.js"></script>
<!--（32ケタの英数字）-->

　９月８日〜９日ぐらい、複数の改ざん被害サイトからこの不正なコードが一挙に消えうせる動きがありました。なぜか攻撃者自らコードを除去したようです。それ以前から、飛び先のドメインがだいぶ死んでしまっていて、なかなか攻撃コードが落ちてくるところが見つからない状態でした。

　８０８０系改ざんサイトを踏んでウイルス（Bredolab）に感染したパソコンを使って配信されてる迷惑メールにも動きがあったとのこと。
・盗まれたアカウント情報の行方 （cNotes）
・盗まれたアカウント情報の行方 2

　ところが、昨日あたりから一部の改ざん被害サイトで攻撃再開っぽい動きを確認してます。現在は、ロシアドメインのアドレスに誘導する不正なコードが挿入されてます。手元でチェックしていたサイトだと具体的なアドレスはこんな感じですが、検索してみると他の飛び先もあるようで。

addonrock. ru/＊＊＊.js
alienradar. ru/＊＊＊.js

　ソフトウェアの旧バージョンにある脆弱性を突く攻撃が成立した場合に強制発動するウイルス（Bredolab）のVirusTotalの結果。夕方に回収してきたもの。検知してるとこがいくつかあるので、攻撃者が用意して数日経ってる？

www.virustotal.com/file-scan/report.html?id=8ccac43b376be334e5b4ee29055dee1b4dee0f6e8cbf2fb6d2460771a8846793-1284810039

　こんなウイルスにご厄介になりたくなかったら、コチラで紹介されてる対策（無料）をしておくこと。