無題なブログ

[MEMO] 2style.net 広告用JavaScriptファイル改ざん（？）で警告

　
　Twitterで情報を見かけたものですが、『2Style.net - 無料ホスティング/無料ホームページサービス -』というところが、Googleからマルウェア警告となってますかい。この記事を書いてる時点で、「2Style.net」のURLアドレスを持ってる全ページがGoogle検索結果で「このサイトはコンピュータに損害を与える可能性があります。」と表示され、Firefox/Chromeブラウザではアクセスがブロックされます。

　原因は利用ユーザーのホームページの最後尾付近に自動挿入される広告用JavaScriptファイル（gcolor.js）が改ざんされたみたいで、不審なコードの挿入が確認できます（上画像）。記事を書いてる時点では問題のコードはなくなってるので運営が除去したんでしょうか？？？

http://2style.net/●●●●●/
　↓
http://2style.net/gcolor.js
　↓
http:// 184.22.242.4/fun .htm 
　↓ （アクセスできず不明）
？？？？？

東北･太平洋沿岸地震に便乗した検索エンジン経由のウイルス攻撃

　トレンドマイクロ英語版ブログによると、M8.8東北･太平洋沿岸地震に便乗して、検索エンジンの検索結果に不正なページを表示させる「SEOポイズニング」攻撃が確認されてるそうです。英語のキーワードでの検索結果ですが、偽セキュリティソフト（ウイルス）の配布へ誘導される流れ。

　最新の情報は信頼できる正規メディアから収集するように、とのことでご注意あれ。
・ “Most Recent Earthquake In Japan” Searches Lead to FAKEAV （Trend Micro Malware Blog）

＊ 便乗迷惑メール
＊ 便乗募金詐欺
＊ 便乗ウイルス（マルウェア）

http://rd.yahoo.co.jp/volunteer/blogparts_program/01/swf/y_only/*http://i.yimg.jp/images/volunteer/donation/blogparts/general/volunteer.swf?bokin_id=1630001

韓国アイドルグループの日本語公式サイトがウイルス散布中 （2011年3月）

　Google検索やFirefoxでマルウェア警告が出てるとの情報をTwitterでたまたま見かけたので突撃してみました。BIGBANGという韓国アイドルグループでしょうか？ 今回初めて知ったのでよく知らんですが・・・。

　

　で、JPドメインの日本語公式サイト（www.ygbigbang .jp）のHTMLファイル先頭部分にいきなり不審な<SCRIPT>タグが挿入されてるのが分かります。外部より改ざんされてしまってるようです。

　

　このコードにより、ブラウザ内部では下のような流れで誘導されていって、「Internet Explorer」の脆弱性を突いたウイルスの強制発動処理が行われます。この脆弱性は、2010年にマイクロソフトが修正してるので、ちゃんと「Windows Update」を行っていれば（自動更新の有効）、実際にはウイルス感染被害は１００％起こりやせん。

http://www.ygbigbang .jp
　↓
http://redbook11.chosun .com/ad/ads.js
　↓
http://redbook11.chosun .com/ad/click.asp → Internet Explorerの脆弱性を攻撃する処理
http://redbook11.chosun .com/ad/ad.asp
http://redbook11.chosun .com/ad/index.htm
　↓
http://www.＊＊＊＊.com/upload/cag/pdf.exe → 強制発動する実行ファイル（ウイルス）

　ちなみに、対策してないWindowsパソコンだと、アクセスしただけで強制的に感染してしまうことになるウイルスのVirusTotalの結果はこちら〜。ウイルス検出名から、オンラインゲームのパスワードを引っこ抜くトロイの木馬ウイルスのようです。いわゆる”アカウントハック”目的のものですなぁ。

www.virustotal.com/file-scan/report.html?id=739ec7b6590d108728b9fd8a2ac04e3094b4c89678d56be19ffe6d34963f8b0e-1299375184

★ ウイルス対策ソフトがやってくれないウイルス対策
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）

---

[追記...] 問題は解消されてる模様。

偽物「AVG Anti-Virus」にあるチャットサポート機能を試してみた

　　http://farm6.static.flickr.com/5098/5457550364_9624dc688c.jpg

　海外の改ざんされてる一般サイトを経由して強制リダイレクトされたページからダウンロードしてきたものですが、AVG Technologies社が提供してる正規のウイルス対策ソフト「AVG Anti-Virus」を装ったインチキ詐欺ソフト「AVG Antivirus 2011」が手に入ったので手動で感染しました〜。
・ AVGの名前をかたる偽セキュリティソフトが見つかる、入手元に注意 （INTERNET Watch）
・ 偽物のAVG Anti-Virus Free Editionに、ご注意ください （AVG Japan）

　本物のロゴマークをそのまんま流用してる以外はデザインがぜんぜん別モノですが、仮に感染した人がググっても本物のAVG情報がたくさんヒットしてしまうので信じちゃうんでしょうかーね？ 例のごとく、デタラメなウイルス感染情報を示して”有償版”を買うよう激しく警告します。

　　http://farm6.static.flickr.com/5178/5457550354_d4da6dc10a.jpg

　んで、感染してみて分かったんですが、このインチキ「AVG Antivirus 2011」には、ライブチャットによるテクニカルサポート機能が用意されとるんですな。生身の人間がリアルに生チャットしてくれるインチキソフトが存在する、というお話を思い出したので、これ幸い（？）と試してみました。カスペの記事では、足し算の質問を投げかけたりしてボットによる機械返信じゃないかチェックしてます。
・ オンライン・サポート・サービス付きの偽ウイルス対策ソフト （Symantec／ITpro）
・ Technical Support - they're not always the good guys （Kaspersky Securelist Blog）

　　http://farm6.static.flickr.com/5294/5457749986_3a4656304f.jpg

　サポート担当”ミッシェル”との超短い会話でしたが、赤色のVisitorがおいら。

　最初の発言は、たまたま開いていたYahoo!ニュースにのってた日本語の見出しをそのまんまコピペしただけ。向こう側ではどのように表示されてるんか知りませんが、英語じゃないとダメだと切り返されます。おー人間みたい。

　ＡＧＶ（故意にスペルミス）に感染した〜と言ったら削除方法とやらを提示されました。「ホンマかいな!?」ということで、書いてある通りにやってみたら、あっさりと「AVG Antivirus 2011」がアンインストール（駆除）されたので、感謝の意を伝えました。

Java 6 Update 24 公開 - ウイルス強制感染被害を回避するため更新を

　米国オラクル（サン・マイクロシステムズ）が開発してる無料ソフト「Java」（JRE）のセキュリティアップデート（6 Update 24）がリリースされやした〜な。無料で更新できます。
・OracleがJavaの最新版をリリース、深刻な脆弱性に対処 （ITmedia エンタープライズ）
・Java ソフトウェアのインストール状況の確認

　「Java」を導入してたら、ウイルス強制感染被害を回避するために最新状態を維持しとかないと超危険です。おまけに、「Java」は意識して導入してなくても、パソコン購入時点で最初からインストールされてる場合も多いので、知らずに放置されてる可能性も・・・。

　あえて「Java」を新規に導入する必要はなく、不要であれば事前にパソコンからアンインストールしてしまうのも有効な対策です。

　古いバージョンのままだと、改ざん被害を受け不正なコードが埋め込まれてる一般のサイトを単に閲覧しただけで、裏で攻撃サイトに誘導され、下のようなコードが降ってきて攻撃処理が発動し、知らないうちに裏でウイルスがダウンロードされ、そのウイルスが問答無用で強制起動させられちゃう事態にっ！

　　http://farm5.static.flickr.com/4105/5450128281_f34aca7f8b_z.jpg

　　http://farm6.static.flickr.com/5016/5450113281_78a901c851_z.jpg

　　http://farm6.static.flickr.com/5171/5449471950_4b81a79151_z.jpg

★ セキュリティソフトがユーザーに代わって行ってくれないウイルス対策
・ ホームページからの感染対策 （サイバークリーンセンター）