無題なブログ

[テキトーなウイルスメモ] サイバー攻撃のニュースが最近色々と報じられ何がどれだか...

■ 三菱重工 − TSPY_DERUSBI.A

about-threats.trendmicro.com/malware.aspx?language=us&name=TSPY_DERUSBI.A
www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=TrojanSpy%3AWin32%2FDerusbi.A
www.virustotal.com/file-scan/report.html?id=8cf2d764a4ba4292ed582b22e4660f2523ed87fc305d2d4f2a664f71c6929a52-1313026931
www.virustotal.com/file-scan/report.html?id=756b534e23b76ac603b096177ee59f664a2ba0d092bb0e418ea06603946301bb-1313026948

■ 衆議院 − 具体名の情報なし

（新種のトロイの木馬）

■ 日本の在外公館 − BKDR_AGENT.MOF

about-threats.trendmicro.com/malware.aspx?language=us&name=BKDR_AGENT.MOF

■ 世界中の化学・軍事関連企業（日本も1PC） − PoisonIvy／Backdoor.Odivy

www.symantec.com/security_response/writeup.jsp?docid=2011-082404-0239-99
www.virustotal.com/file-scan/report.html?id=b1265af083abf24dd800d022dd7c2d39e8285397fc9d57a2bbe3f5bbf8d1ec0b-1320141630
www.virustotal.com/file-scan/report.html?id=c7c0e961e6e60c5c07b09280f2f2c628596dfece7b748561763da5ccbd404bb4-1320134537

Twitterのアカウントハック目的のフィッシング詐欺ページ

　Twitterでアカウントハック被害が多いみたいで。攻撃者に乗っ取られた正規のアカウントから不正なURLアドレス付きの英文ＤＭ（ダイレクトメッセージ）が大量にばら撒かれていて、さらなる被害者が連鎖的に発生してる模様。そのTwitterのアカウントを盗み取る目的のニセページ（フィッシング詐欺ページ）をテキト〜に突撃してみました。ここでユーザー名とパスワードを送信してしまうと、アカウント情報がそのまま攻撃者に流出してしまうんですねぇ。

（上）ホンモノ ⇒ https://twitter.com/?lang=ja
（下）ニセモノ ⇒ http://itwiitter. com/

　URLアドレスを確認すれば、明らかにおかしいことが分かります。騙されやすいよう、攻撃者はわざと似通ったドメイン名を使ってますな。SSL認証タイプのURLアドレス（https://〜）をブックマークしておけば、Internet Explorerの場合だとURLアドレス欄の背景が薄い緑色になり、そのお隣に鍵マークが表示されるので目立ちます。ニセページではそういう芸当はできないので。
・ インターネットの危険から身を守る方法 （Yahoo!セキュリティセンター）

ブックオフの公式サイトが改ざんされウイルス散布 お詫び発表後も・・・

　本を売るならブックオフの公式サイト（www.bookoff●co.jp）が改ざんされ、アクセスしてきたユーザーにウイルスを散布してしまったそうです。で、10月19日付けでお詫びの文章が発表されてたはずですが、コチラでは21日の未明時点でも不正な攻撃コードが下のような感じで挿入されてるのが確認できました。

　ググってみると、ショッピングサイト構築システム「osCommerce」の脆弱性を突いた改ざん攻撃のようです。この記事を書いてる時点でブックオフの公式サイトはメンテナンス中となっとります。

　この攻撃コードによって、サーバー位置がロシアのインドドメイン（.in）のページがブラウザ内部で強制的に読み込まれます。

http://www.bookoff●co.jp
　↓
http://＊＊＊＊.in/1319158532.php
　↓
？？？

　その先は404 not foundが返ってきてアクセスできませんでしたが、ウイルス感染手法は一般的なドライブバイ・ダウンロード攻撃だと思うので、↓のウイルス対策をあらかじめちゃんとやってあるパソコンであればウイルス感染被害は起こりません。
・ ウイルスの駆除と感染防止対策 （サイバークリーンセンター）

---

[11月1日 追記...]
　復旧後に再び改ざん、10月31日にメンテを終える。

偽 Flash Player ウイルス for Mac 再来・・・

　Mac OS Xマシンを攻撃ターゲットに「Adobe Flash Player」のインストーラーを装ってバックドアウイルスを導入させようとする脅威が確認されてるとか。
・ Mac Flashback Trojan Horse Masquerades as Flash Player Installer Package （Intego Blog）
・ Flashback Mac Trojan poses as Adobe Flash update, opens backdoor （Sophos Blog）

　さっそく配信サイトへ訪問してみたら・・・

　　　

　７月の↓記事で紹介した時とまったく同じひな形を使ったインチキシーンがブラウザ上に表示されました。『Flash Player 10がエラーを吐き、最新版のFlash Player 11へアップデートしてください』と指示する偽アニメーションが表示されます。
・ Mac向けマルウェア配信キャンペーン再開！ 次は偽 Flash Player

　このシーンが表示された直後にGoogle.comへそのまま強制転送されてしまったため、肝心の配信されてるウイルス検体は回収できませんでした。普通に日本IPアドレスだからダメなんかねぇ。

ラジオ局 IBS 茨城放送 の公式サイトが改ざんされウイルス発信

　ラジオ局「IBS 茨城放送」の公式サイト（ｈttp://www.ibs-radio .com/）がハッキングされてるとのこと。Gogole検索では「このサイトはコンピュータに損害を与える可能性があります」というおなじみの警告がでてますな。
> hibari.2ch.net/test/read.cgi/sec/1279692828/828-

　　

　さっそく突撃しサイトのHTMLタグを覗いてみると、ページの最後尾に不正なJavaScriptコードが挿入されてるのを確認できます。２度目のアクセスだと、このコードは現れないようになってます。このコードによりブラウザ内部でルーマニア「.ro」ドメインのサイトへ強制接続されるようになってます。このルーマニアのページは正規サイト内のようで、攻撃者に乗っ取られちゃってる感じ。

http://www.ibs-radio .com/
　↓
http://www.dinsuceava .ro/icon/1/index.php （エクスプロイトキット）
　↓
http://www.dinsuceava .ro/icon/1/index.php?spl= 〜 （ウイルス）

　で、下の項目に１つでも当てはまってるWindowsパソコンは、「IBS 茨城放送」のサイトを単にブラウザで閲覧しただけでウイルスが強制的に起動し感染する恐れがあります（参考）。当てはまってなければ、１００％ウイルス感染被害にあわずに済みます。
・ Windows Update を行ってない
・ Java（JRE） が導入されていて、かつ古いバージョンのまま更新しないで放置してる
・ Adobe Flash Player を古いバージョンのまま更新しないで放置してる
・ Adobe Reader を古いバージョンのまま更新しないで放置してる

　ついでに回収してきたウイルス検体（実行ファイル）を手元で起動させて感染してみたところ、下のような英語表記の偽パソコンメンテナンスツールの強制インストールとなりました。ハードディスクに不具合があるというウソの警告情報とともに、パソコン内のファイル群が全消滅（実際には隠しファイル化）して、これを解決するための”有償版”をクレジットカードで買うよう激しく脅してきます。

　　

　　

　オンラインスキャンサイトVirusTotalに放り投げてみた結果はコチラ。このウイルスはWindowsパソコンに単に導入（感染）させるだけで報酬金が貰える仕組みをもってるものなので、セキュリティソフトに駆除されないよう頻繁に検体を差し替えてる可能性があります。当然ながら、このウイルスがもたらされる前の段階で検知できるブラウザ＆セキュリティソフトがそれなりにあるはず・・・。

www.virustotal.com/file-scan/report.html?id=d252327925582d6d223f904e70df3af759ba6b61f5ed3732b87be3676052125a-1316929774