無題なブログ

米国Yahoo!検索に大きな順位変動

　日本のYahoo! JAPANは独自にYST検索アルゴリズムの更新を2009年9月と12月に行ってましたが、本家の米国Yahoo!検索の方は2009年9月のYSTインデックス更新以降 音沙汰なく。海外のフォーラムWebmstrerWorldでは1月になって、変動？的な報告が挙がってはいましたが、手元では確認できず。

　・・・ってな状態でしたが、今日22日に米国Yahoo!検索の方で大きな順位変動を確認しました。

Gumblar.8080の改ざんは『/*LGPL*/』から『/*Exception*/』へ

　http://farm5.static.flickr.com/4060/4294514823_867c098243.jpg

　攻撃者の気が変わったのかミスったのか、『/*handle exception*/』というコメント付きの不正なJavaScriptコードが埋め込まれてた一部サイトは、『/*Exception*/』（意味は「例外」）というコメント付きのものに落ち着きました。チェッカーを走らせてた『/*LGPL*/』の改ざんサイトすべてが、現在『/*Exception*/』に置き換わってます。

<script>/*Exception*/ document.write('<script src 〜

Gumblar.8080 改ざんのコメント変遷
タイプ１	/*GNU GPL*/ → /*LGPL*/ → /*Exception*/
タイプ２	/*CODE1*/

　導かれる処理の流れは変わらず〜。下はその一例。

hXXp://wiktionary-org.gap.com.google-com-br.yourauthentic●ru:8080/ekolay.net/ekolay.net/ip138.com/huanqiu.com/google.com/
　↓
hXXp://wiktionary-org.gap.com.google-com-br.yourauthentic●ru:8080/index.php?ys
　↓
hXXp://wiktionary-org.gap.com.google-com-br.yourauthentic●ru:8080/pics/win.jpg
hXXp://wiktionary-org.gap.com.google-com-br.yourauthentic●ru:8080/pics/JavaGame.jar
hXXp://wiktionary-org.gap.com.google-com-br.yourauthentic●ru:8080/pics/ChangeLog.pdf
　↓
hXXp://truerealtime●ru:8080/main.php?id=5&hello302 （pdfupd.exe）

　仮に改ざん被害を受けてるサイトを踏んだとしても、無料でできる対策さえちゃんとやっておけば、ウイルスの発動は回避されます。対策してないと、何か（たとえばインチキ「Security Tool」）を調達してくるようなウイルスに自動的に感染します。

---

・埋め込みコード変えドメインも一新、拡散続ける正規サイト改ざん （So-net セキュリティ通信）
・命名「Gumblar.8080系」、でもって改竄コードが変化してまた変化 （べつになんでもないこと）

ガンブラー（8080）の改ざんコードに変化 『/*handle exception*/』

　8080攻撃の改ざんの『/*GNU GPL*/』→『/*LGPL*/』に変化が。チェッカーを走らせてた２サイトで確認してます。

http://farm3.static.flickr.com/2713/4292592645_ebecb6f6c6.jpg

　不正なJavaScriptのコードの末尾に『/*handle exception*/』のコメント文。飛び先のURLアドレスは今までと違って難読化されておらず、有名サイトのURLアドレス文字列を前後に引っ付けたロシアドメイン「*****.ru:8080」が堂々と表示されてます。