無題なブログ

Javaは最新版かいな？ セキュリティ関連の修正を含む更新版リリース

　オラクル（サン・マイクロシステムズ）が開発してる無料ソフトJava（JRE）の定例アップデートが行なわれました。セキュリティにからんだ不具合の修正がたくさん含まれてるそうで、導入してる人は更新必須です。
・ Oracleが四半期パッチを公開――Javaの定例パッチも同時公開 （ITmedia）
・ 致命的な脆弱性を修正した「Java Runtime Environment」v6 Update 22が公開 （窓の杜）

　今年2010年は、ホームページを見ただけでウイルスを強制的に感染させる攻撃手段（ドライブバイ・ダウンロード）としてJava（JRE）の悪用が何だか増えましたかねぇ。IBM Tokyo SOC Reportにて、ウイルス感染攻撃が成功した原因となったソフトウェアの情報が発表されとります（2010年上半期）。

１位 ... Adobe Reader
２位 ... Java（JRE）
３、４位 ... Microsoft関連

　日本国内でも見られるサイト改ざん攻撃「Gumblar.x」「8080系」「マイクロアド広告改ざん」で、ウイルスの発動手段としてJava（JRE）の旧バージョンにある脆弱性を悪用する処理が実際に用意されてます。

　ガンブラー（GENOウイルス）などの対策として、Windows UpdateやAdobe系の更新について触れていても、Java（JRE）について触れてないサイトをよく見かけます。
・ Javaはフリーソフトで更新も無料
・ Javaはパソコン購入段階でインストールされてる場合があるので知らずに導入済みの場合あり
・ Javaをあえて新規に導入する必要はなく、不要（必要か判断できない）なら削除しておくのも手
・ 名前が似ているJava（＝1ソフトウェア）とJavaScript（＝ブラウザの1機能）はまったくの別物

⇒ Javaのバージョン確認ページ （Java.com）

■ QuickTime の悪用が増える!?
　マイクロアドの事件で使われてたエクスプロイトキット（ブラウザ経由でウイルス感染させるWebアプリケーション）がここ最近のバージョンで、新たにAppleの「QuickTime」の旧バージョンにある脆弱性を悪用する処理を実装したそうです。今後、悪用される頻度が増えるかもしれん・・・。

　導入してるセキュリティソフトはやってくれない↓
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）

【賞金当選詐欺】 スロットなう 無料で100万獲得 【個人情報収集】

　http://farm5.static.flickr.com/4118/5066819940_954510862a_m.jpg

無料で賞金100万円を獲得しよう！！
スロットを回して、777を揃えよう♪
無料で3回チャレンジ！1回でも777が揃ったら賞金100万円獲得！！

　みなさん全員が当選（権利獲得）しちゃいます。ご注意を〜。

・検索広告で誘導する無料懸賞サイト、賞金当たらず迷惑メールの嵐
　http://www.so-net.ne.jp/security/news/library/2418.html
・個人情報等の収集を目的としたサイトにご注意ください （Yahoo! JAPAN） ← コンテンツ消滅
　http://docs.yahoo.co.jp/info/notice41.html
・スロットなう という不正なサイトにご注意ください！ （噂のチャンネル）
　http://ameblo.jp/uwasabbs/entry-10620149903.html
・無料で賞金100万円を獲得しよう！！ スロットなう （現金な話）
　http://plaza.rakuten.co.jp/konton57/diary/201008290000/
・Yahoo!知恵袋内にある”スロットなう”報告
　http://goo.gl/ucv3

サイトを見ただけでSecurity Toolが強制導入された たった１つの理由

　先日のマイクロアド（MicroAd）の一部の広告サーバーが改ざんされ不正なコードが挿入されたことで、その広告を採用してた普通の日本の一般サイト（９８サイト）を経由してウイルスを散布してしまう騒動、その後のお話。

　ちなみに、強制的に感染したのは、偽セキュリティソフト「Security Tool」。デタラメなウイルス感染警告を表示して、ありとあらゆる操作を激しく妨害、対処したけりゃ”正規品”を買え買え買え〜！、と脅かしてショッピング画面に誘導、クレジットカードの情報を盗もうとするのが目的です。

・ マイクロアドの広告配信サーバ改ざん(1)配信先で偽セキュリティソフトに感染 （So-netセキュリティ通信）
・ 攻撃用ツールキットを使用した Web サイト経由での攻撃に関する注意喚起 （JPCERT コーディネーションセンター）

　「Security Tool」が勝手に導入（感染）された人は、ソフトウェアの脆弱性を解消する「ドライブバイ・ダウンロード対策」をしていなかったためです。ここをちゃんと対処しておかないと、ユーザーの意思なぞいっさい関係なく不正なプログラムを強制的に発動できてしまいます。

　『セキュリティソフトを導入していたか』『セキュリティソフトが最新の状態だったか』『どのセキュリティソフトを利用していたか』なんてな話を見かけるけど、そんなことはどうでもよいです。下に書かれてある「ドライブバイ・ダウンロード対策」のすべてを代わりに行なってくれるセキュリティソフトはこの世に存在しません。
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）
・ ホームページからの感染を防ぐために （総務省・経済産業省 サイバークリーンセンター）

　私のおすすめ:
偽ソフト駆除アンテナ

MicroAd広告配信データ改ざん、ウイルス散布騒動‎ 関連まとめ

★ 2010年9月25日 【障害報告】弊社サービスの改ざんに関するお詫びと報告 （株式会社マイクロアド）

■ 不正プログラム：毎日ｊｐなど被害 広告配信データ改ざん （毎日新聞）

不正プログラム：毎日ｊｐなど障害 広告配信会社への不正アクセス原因‎
└ 毎日新聞サイト、閲覧でＰＣ不具合…おわび掲載 （読売新聞）

■ ADサーバー掲出タグによるセキュリティアラートと対処について （スラッシュドット・ジャパン）
■ 「【重要】サイト閲覧時におけるマルウェア「Security Tool」の不正インストールについて」 （みんなの株式）
■ お詫び：外部配信広告サーバーの障害について （PC Watch ／ ケータイ Watch）
■ 【重要】外部広告サーバーによるセキュリティ上の問題発生のお知らせ （みんカラ）
■ 外部配信広告サーバーの一時障害について （日刊工業新聞）
■ 偽セキュリティソフト「Security Tool」感染爆発、原因はマイクロアド 〜 （GIGAZINE）
■ 【重要】お詫びとご報告について （ALBA.net）
■ お詫び：広告配信用外部サーバーの障害について （株式会社インプレスビジネスメディア）
■ バナー広告コードの改ざんに関するお詫び （newsing）
■ 外部広告配信サーバ障害によるウイルス感染の可能性について （J-CASTニュース）
■ 弊社利用広告サーバーにおけるセキュリティ問題に関するお詫びとお願い （オートスポーツweb）
■ 【重要】外部配信広告サーバーの障害について （価格.com）
■ 株式会社マイクロアドによる、外部配信広告サーバーの障害について （マピオン）
■ お詫び：広告配信用外部サーバーの障害について （Think IT）
■ ABC利用の広告配信用外部サーバーに関する不具合について （朝日放送）
　... きりがないので終り

● 偽セキュリティソフト「Security Tool」の感染について（2010.9.25） （ソースネクスト）
● 平成22年9月25日 「Security Tool」と表示される偽ウイルス対策ソフトについて （東芝）
● Q&AサイトYahoo!知恵袋内にある「ウイルス対策・セキュリティ対策」コーナーが、9月24日22時あたりを境に偽セキュリティソフト「Security Tool」の質問で溢れ返る。

● Security Tool 強制感染の流れ / マイクロアド アドサーバVASCO
● 強制的にウイルス感染する影響があった可能性がある環境
　感染原因となるドライブバイ・ダウンロード対策をやっていなかったWindowsパソコン。利用してるブラウザの種類は関係なし。
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）
・ ホームページからの感染を防ぐために （サイバークリーンセンター）

Security Tool 強制感染の流れ / マイクロアド アドサーバVASCO 改ざん

◆ マイクロアド（MicroAd）広告データ改ざんによるウイルス（Security Tool）散布騒動の簡単まとめ

・ MicroAD社VASCO ADサーバーによるアラート発生iframe挿入事件 （はてな匿名ダイアリー）
・ 広告サーバーからウイルス配信？ （べつになんでもないこと）

（MicroAd広告コード設置サイト）
　↓
hXXp://versus●ipq ●co/statsm?ref=jp
　↓
hXXp://ats●redmancerg ●net/n/index.php
　↓
hXXp://ats●redmancerg ●net/n/l.php?deserialize= 〜

　設置されてるエクスプロイトキットによって生成された脆弱性攻撃コードが降ってくる。

　ドライブバイ・ダウンロード対策を行なっておらず、攻撃が成立した場合に強制的に発動したウイルス（実行ファイル）。攻撃者がファイルを差し替えてる可能性もあるけど、日本語表記にも対応してるインチキソフトSecurityTool（偽セキュリティソフト）の単品タイプ。

VirusTotal
www.virustotal.com/file-scan/report.html?id=2cccbd87d293dd69b8ca2118bf54cae931df25ebc0839701f603c0aa1991d67c-1285378203

Comodo Malware Analysis
camas.comodo.com/cgi-bin/submit?file=2cccbd87d293dd69b8ca2118bf54cae931df25ebc0839701f603c0aa1991d67c

---

（27日 追記...）
　G Data Software株式会社が、この「無題なブログ」の記事も下敷きにして今回の騒動についてのプレスリリースを出してるけど、こんなどこの誰ともしらん個人ブログの情報を元にしちゃって大丈夫ですかね。（＾＾;

　発表されてる文章に登場する『ファイル名：update.exe0925』（VirusTotalの結果）なんて、自分が検体を手動で回収してきた時に名付けたまんまのファイル名なので、実際にはこの名前で発動・感染することはなかったり・・・。