無題なブログ

有料エロ動画アダルトサイトの登録入会料金請求支払画面が消えん！

　ギャーーーーー！ エッチな有料エロ動画アダルトサイトの登録入会料金請求支払画面の画像ポップアップがデスクトップにババーンと貼りついて消えないっ！！！ 助けてっ！！！

　・・・で、おなじみのワンクリック詐欺。Windowsの正規ファイル mshta.exe を悪用するマルウェア（ワンクリウェア・ワンクリックウェア）を警告無視して普通に実行して踏んでパソコンに感染させてみる。偽セキュリティソフトの料金は1万円はあんまり行かないのに対して、日本のワンクリック詐欺で提示される料金の相場は5〜10万ぐらいとだいぶ高いですか。１日にウン十万という感じの儲けになるんでしょうかねぇ。
・ 【注意喚起】ワンクリック請求に関する相談急増！パソコン利用者にとっての対策は、・・・ （IPA情報処理推進機構）

■ 【ワンクリック詐欺】 ブラウザの警告・確認
Microsoft Internet Explorer 6/7/8 ⇒ セキュリティ警告ダイアログ
Microsoft Internet Explorer 9 ⇒ セキュリティ警告通知バー
Mozilla Firefox 、Google Chrome ⇒ 保存ダイアログ
・ ファイル名 ... 動画の拡張子ではなく「〜.hta」ファイル
・ ファイルの種類 ... 動画形式ではなく「HTMLアプリケーション」（HTML Application）

　

　私のおすすめ:
ワンクリウェアウイルス駆除 （支援ツール）

Mac向けマルウェア配信キャンペーン再開！ 次は偽 Flash Player

　Mac向けインチキ偽セキュリティソフト「Mac Defender」ファミリー（Mac Guard、Mac Shield、Mac Protector、Mac Security）が先月６月まで話題になってましたが、何だか最近さっぱり音沙汰がなくなってしまいました。というのも、６月下旬にこの配信キャンペーンが終わっちゃたんですねぇ。

　新たなウイルス検体が投入されなくなったおかげで、Mac OS X（Snow Leopard以降）に内臓されてるウイルス検知機能「XProtect」の定義データを更新する配信作業も、そのタイミングとともに停止してたようです。 （↓ Resultsという項目のグラフ参照）
・ Mac malware 'explosion' missing in action （TUAW - The Unofficial Apple Weblog）

　んが、本日7月25日よりMac OS X向けにマルウェアの配信が再開されたっぽいのを確認してます。ブラウザ上に「Adobe Flash Player」がクラッシュした、なるエラー場面が出現して、「FlashPlayer-11-macos.zip」（FlashPlayer.pkg）なるファイルをダウンロードさせられます。

　マルウェアと思われるファイルをVirusTotalに放り投げた結果はコチラ。AVG が「Hosts」とな。

www.virustotal.com/file-scan/report.html?id=9469c1afe1a2031f082de610b026b5ed46fbbdd51a23871935034fdcc4086f45-1311595973

　内部を見る限り、Hostsファイルを改ざんする挙動があるようですねぇ。

　　

---

[8月3日 追記...]
　エフセキュアが取り上げてます。これはGoogleウェブ検索とGoogle画像検索に登録されてる改ざんした一般サイトを踏み台にして配信されてます。
・ Macを狙う偽のFlash Playerインストーラが出現 （ITmedia）
・ Trojan:BASH/QHost.WB （エフセキュア ブログ）

　ちなみに、一番新しいバージョンは下のような処理になってます。新たに加わった矢印の行は攻撃者に感染を通知する用なん。

　　

Google検索からサブドメイン「co.tv」「rr.nu」のURLアドレス排除

　サブドメイン「co.cc」に続いて、「co.tv」「rr.nu」がGoogle検索から排除されてるそうです。Bingすると、このサブドメインを使ってえる日本のサイトも少なからずあるんねぇ。

　

　

　これを受け、トレンドマイクロが不正に使われてるサブドメインのランキングを発表してます。「co.cc」の数が５ケタで突出してるのが分かりますな。
・ Google’s Decision to Ban an Entire SLD is a Paper Tiger （Trend Micro Malware Blog）

Google検索から「co.cc」サブドメインなURLアドレスが全部排除される

　あらら、一時的な現象？ 無料サブドメイン「○○○.co.cc」のURLアドレスを持つサイト群がGoogle検索エンジンからきれいさっぱり排除されてるとか。「.cc」はインド洋にあるココス島だそうな。
Google Delists All CO.CC Domains From Index （Search Engine Land）

　「○○○.co.cc」とか「○○○.cz.cc」はウイルス散布用アドレスとして悪用されまくりなんよ、ホント。個人的にいい印象がない・・・。
・ CO.CC ドメインから 1,200 万件の攻撃が発生 （Symantec Connect）

---

[追記...]
　一時的でも何でもなく排除のようで。Bingすると、ペラサイトやゴミサイトがある一方で、ちゃんとしてるっぽいサイトもあって無念ですな。
・ Post by Matt Cutts ”a specific freehost be spammy or low-quality”

画像検索経由で偽セキュリティソフト感染、続ネタ

　WindowsとMac OS XのユーザーをターゲットにGoogleなどの画像検索エンジン経由でウイルスや偽セキュリティソフトを感染させようとする脅威の続ネタ。まだ攻撃は継続していて、踏み台状態になってる日本の正規サイトもまだ複数ある感じ。

　たとえば、日本のJPドメインな「財団法人●●●協会」。キムタクがＣＭをやってたところの社長さんが代表を務めてる協会のようです。このサイト内の不正な踏み台用画像が約７千件ほど検索エンジンに登録されちゃってます。

　　　http://farm6.static.flickr.com/5068/5891016690_cb9ae92545_z.jpg

　ところで、Mac OS Xユーザーが検索結果内の画像をクリックすると、今現在は下のような実際には存在しないURLアドレスに強制リダイレクトさせる処理が降ってきます。

<script>var url = "http://blog.unmaskbullshits.com/penis-sinegubko-was-found-shit-in-the-park-even-worst-than-previous-one-part-3213.html"; if (window!=top) {top.location.href = url;} else { document.location= url;}</script>

　最初は「なんじゃこれ？」でしたが、この脅威を手掛けてる攻撃者が、下のブログの中の人を卑猥なコトバで攻撃する内容になってるんですな、これ。この脅威の技術的な内部情報を6月29日にエントリーしたことを受けてのメッセージのようで。
・ Google Image Poisoning. What’s New in June? （Unmask Parasites. Blog.）

http://blog.unmaskparasites.com/
ロシアのセキュリティリサーチャー Denis Sinegubko氏のブログ