無題なブログ

JavaとQuickTimeが最新版じゃないと強制的にウイルス感染！

　ガンブラー御大（8080 ＆ Gumblar.x）は動きらしい動きなし。

■ Oracle Java は最新版かいな？
　IBM Tokyo SOC レポートさんが Java（JRE）の脆弱性を悪用する攻撃について警告してます。掲載されてる画像の攻撃コードが設置された不正なページへと強制誘導させられるコードは、日本の一般サイトでも複数確認してます。
・ Javaの脆弱性を悪用するドライブ・バイ・ダウンロード攻撃の増加を確認 （IBM Tokyo SOC Report）

　この記事を書いてる時点で、「Java 6 Update 22」が修正済みの最新バージョン。メーカー製パソコンにはJavaが最初からインストールされてることも多いので必ず確認を。

■ Apple QuickTime は最新版かいな？
　smilebananaさんのブログに日本のどっかのNPOのホームページが改ざんされてるという記事。
・ 「ホームページを見ているだけ」でも感染しちゃう系 （smilebanana）

　どこのNPOなのかは探すのがめんどいのでスルーして、掲載されてる画像にある２つのIFRAMEタグに直接アクセスして攻撃コードをチェックしてきました。URLアドレスで検索してみると、12月2日ぐらいから報告があがってるようですな。

　IFRAMEタグで読み込まれるページには、それぞれ同じエクスプロイトキット（ブラウザ経由でウイルス感染させるWebアプリ）が設置されてます。これはマイクロアド広告の「Securiy Tool」感染騒動の時と同じものです。たた、QuickTimeの脆弱性（最新版なら修正済み）を悪用して強制ウイルス感染させる処理が追加されてる新バージョンとなってます。

　で、最終的に強制感染させられるウイルス（実行ファイル）は、IFRAMEタグごとに別々でした。smilebananaさんが続編「もしも無防備な状態でこのサイトにアクセスしちゃってたら一体どうなってたのよ！編」ってのをお送りするとのこと。こちらでそれぞれ実行して感染させてみましたが悲惨なことになる感じ。

★ 100％被害を回避できる対策
　上の２つの事例は、下の対策（無料）を滞りなく済ませておくことで、改ざん被害を受けてる一般サイトを運悪く踏んでしまっても100％ウイルス感染を回避できます。この対策をきっちりやってくれるウイルス対策ソフトなぞこの世に存在しないのでご注意を〜！
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-net セキュリティ通信）
・ ホームページからの感染を防ぐために （サイバークリーンセンター）

　バージョン情報を手軽に確認するには、「MyJVNバージョンチェッカ」が便利。対応環境は32ビットのWindowsパソコン（64ビットはダメ）。QuickTimeとJavaが導入されていて古いと判定されたら必ず更新してください。導入されてないなら、あえて新規にインストールする必要なし。

　あと、別のお手軽な確認手段としてFileHippo.com Update Checkerというツールもあります。

ガンブラー（Gumblar）改ざん攻撃の報告書

　JPCERTコーディネーションセンターから「ガンブラー」（Gumblar）改ざん攻撃の報告書というのが公開されてました。去年からずっと追ってる人にしか分からんような情報が満載という感じ？
・ 依然続くガンブラー型攻撃、サーバー管理者は対策を、JPCERT/CCが調査報告書 （INTERNET Watch）
・ 【レポート】Gumblarは終息したのか？ 今後の動向に注意が必要 - JPCERT/CC （マイコミジャーナル）
・ 踏み台にされるWebサイト〜いわゆるGumblarの攻撃手法の分析調査〜 （JPCERT/CC）

（追記...）
AVAST softwareから「Kroxxu botnet」（＝ Gumblar.x）の報告レポート。
・ AVAST: Kroxxu botnet infects 100,000 domains without a money trail （AVAST Software）

ついで。
■ Internet Explorer の脆弱性ゼロデイ攻撃 （マイクロソフト セキュリティアドバイザリ）
　先週後半あたりから本格的な攻撃になってきたのか海外で報告が。攻撃コードをいくつか見ましたが、IEブラウザのDEP機能が初期状態でオンになってないIE6＆IE7に絞って狙う形。
・Amnesty International Hong Kong Website Injected With Latest Internet Explorer 0-day （Websense Security Labs）
・韓国内のCVE-2010-3962脆弱性を悪用する悪意のあるコードの増加 （AhnLab ASEC Threat Research）

ウェブ魚拓がウイルス感染うんぬん？ （メモ）

　「HTTP Malicious Toolkit IFrame Injection」 というのはNorton SafeWebのものですかね？ このURLアドレスは、だいぶ前の２月にも同じ報告あり。

　コードが難読化してあるけれど、飛び先のロシアドメインに何かしら脆弱性を突くような攻撃コードが見当らず、有害といえる処理が見つけられないので何とも判断がね・・・。（＾〜＾;

hｔｔp://megalodon. jp/contents/000/651/798.mime9 ← 難読化コード
　↓
hｔｔp://noion. ru/img/counter.gif
hｔｔp://noion. ru/count/1.swf?u=/count/count_up.php?count= 〜
hｔｔp://noion. ru/count/count_up.php?count= 〜
　↓
hｔｔp://noion. ru/count/404.php （404 Not Found で取得できず）

---

（追記...）
　「798.mime9」ファイルが「deleted.」に。
・ ウイルス正体判明 （株式会社アフィリティー お知らせ）

「mstmp」「lib.dll」ウイルスうんぬん・・・ アクセス解析サービス経由で

　トレンドマイクロが取り上げるまで知らなんだ。
・ 「mstmp」系ウィルス補完計画 （ハニーポッターの部屋）
・ 国内100社以上で感染被害を確認。”mstmp” ”lib.dll” のファイル名で拡散 〜 （トレンドマイクロブログ）
・ アクセス解析サービスを使用した Web サイト経由での攻撃に関する注意喚起 （JPCERT）
・ ドライブ・バイ・ダウンロード攻撃で感染する”mstmp”ウイルスについて （IBM Tokyo SOC Report）
・ 「mstmp」系ウイルス(仮称) に感染しているか確認する方法 （にわか鯖管の苦悩日記）
・ いきなり襲ってきた「mstmp」ウィルスに大わらわ （ITpro）

---

（29日追記...）
・ アフィリエイトによる金銭取得が目的か!? −“mstmp””lib.dll”攻撃続報 （トレンドマイクロブログ）

Bredolabボットネットが陥落、8080タイプのGumblar改ざん攻撃は終焉？

　日本では「8080」「Gumblar.8080」という名前で呼ばれていた改ざん攻撃を受けた正規サイトを経由してパソコンに感染することになるウイルスがこの「Bredolab」です。2009年12月以降、ＪＲ東日本を筆頭に日本国内の企業や個人のホームページが改ざん被害を受けました。
・Bredolabボットネットがシャットダウン （エフセキュアブログ）
・36億スパムを毎日配信していた凶悪ボットネットが解体 〜 G Data （CNET）
・Bredolab Takedown, Another Win for Collaboration （Microsoft）
・Bredolab, dead, dying or dormant? （Trend Micro）

　手元でチェックしてた日本の改ざんサイトの中でもっとも多かった誘導先は「addonrock. ru」というドメインです。Google調べだと、このドメインは過去90日間で約22,000のドメインを汚染していたとのこと。ボットネットに携わる人物が１名逮捕されたんだそうですが、複数人が組織的に携わってたとしたら、盗まれた大量のアカウント情報が今後いったいぜんたいどうなるのか分からんですな。

　ちなみに、日本の改ざんサイトを経由して自分が回収してきていた「Bredolab」ウイルスの最後の検体は、今月19日のコチラでした。

◆ Gumblar.xの改ざん攻撃は継続中！
　「Gumblar.x」の改ざん攻撃は今でも継続中です。こっちは「Daonol」とか「Kates」という名前のウイルスに感染します。現在は、昨日26日午前2時あたりに差し替えられた検体が発動するようになってます。ただ、日本のIPアドレスの場合だとアクセスを弾く挙動が継続しとります。

改ざん攻撃名	発動ウイルス	状況
8080、Gumblar.8080、Pegel	Bredolab	もしかしたら終焉？
Gumblar.x	Daonol/Kates	絶賛攻撃継続中

---

（29日追記...）
・ メッセージラボ、オランダ国家犯罪対策局による Bredolab のシャットダウン後に、別の Bredolab の活動を確認 （japan.internet.com）

---

（11月2日追記...）
・ オランダ当局がBredolabボットネットを閉鎖〜関連不明も8080系攻撃は停止中 （So-netセキュリティ通信）
・ Gumblar8080攻撃のその後 〜Bredolabは本当に死んだのか〜 （IBM Tokyo SOC Report）