偽セキュリティソフトAntivirus Action、寄生ウイルスRamnitに感染してみた

　前回の記事「JavaとQuickTimeが最新版じゃないと強制的にウイルス感染！」の続きです。

　どっかの日本のNPOのホームページ（すでに閉鎖されたみたい）に挿入された２つの不正なIFRAMEタグに直接アクセスして、ソフトウェアの脆弱性を悪用して強制発動することになるウイルス（実行ファイル）をそれぞれ手動で回収、普通にダブルクリックして感染させてみました。

http://＊＊＊＊＊.com/mmmsss/fuduhqjnfqxwkokvgm2.php ... タイプＡ
http://＊＊＊＊＊.com/gizmod/start.php?id=vlnd ... タイプＢ

◆ 偽セキュリティソフト「Antivirus Action」
　まずタイプＢの方から。こっちはsmilebananaさんでも紹介されてるインチキな偽セキュリティソフトに感染します。偽ウイルススキャンのウィンドウが表示され正規版を購入するようギャーギャーわめく以外にも、レジストリをいじられて普通のブラウザからのネット接続がブロックされてしまいます。
・ Ａntivirus Action 消したい・・・ （Yahoo!知恵袋）
・ Remove Antivirus Action (Uninstall Guide) （Bleeping Computer）

　ネットワーク越しに攻撃を受けてるとかいう右下の警告も偽ポップアップだよん

◆ 寄生型ウイルス「Ramnit」
　次はタイプＡです。こっちはハードディスク内に存在するすべてのEXEファイル、DLLファイル、HTMLファイルに不正なデータが引っ付いて自分自身を増殖するウイルスに感染します。上のインチキソフトと違って、こっちは目に見えて分からないので「あれ？」と気づいたときは後の祭り。
・ W32/Ramnitウイルスについての考察 （McAfee Labs Blog）

　たとえば、感染後にHTMLファイルのサイズがなんでか200Kバイトぐらい増加しとる！

　恐る恐る中身を見てみると、正しいデータの最後尾に不正なコードがキレーに挿入されてる寄生状態！

★ ２つの感染で。。。 （＾＾;
　たとえば、目に見えて状況が分かる「Antivirus Action」の駆除に取り掛かるため、他のパソコンからUSBメモリで駆除ツールなりを持ってこようものなら、持ってきた駆除ツール自体が「Ramnit」により汚染され・・・（完）