無題なブログ

ガンブラー（Gumblar）改ざん攻撃の報告書

　JPCERTコーディネーションセンターから「ガンブラー」（Gumblar）改ざん攻撃の報告書というのが公開されてました。去年からずっと追ってる人にしか分からんような情報が満載という感じ？
・ 依然続くガンブラー型攻撃、サーバー管理者は対策を、JPCERT/CCが調査報告書 （INTERNET Watch）
・ 【レポート】Gumblarは終息したのか？ 今後の動向に注意が必要 - JPCERT/CC （マイコミジャーナル）
・ 踏み台にされるWebサイト〜いわゆるGumblarの攻撃手法の分析調査〜 （JPCERT/CC）

（追記...）
AVAST softwareから「Kroxxu botnet」（＝ Gumblar.x）の報告レポート。
・ AVAST: Kroxxu botnet infects 100,000 domains without a money trail （AVAST Software）

ついで。
■ Internet Explorer の脆弱性ゼロデイ攻撃 （マイクロソフト セキュリティアドバイザリ）
　先週後半あたりから本格的な攻撃になってきたのか海外で報告が。攻撃コードをいくつか見ましたが、IEブラウザのDEP機能が初期状態でオンになってないIE6＆IE7に絞って狙う形。
・Amnesty International Hong Kong Website Injected With Latest Internet Explorer 0-day （Websense Security Labs）
・韓国内のCVE-2010-3962脆弱性を悪用する悪意のあるコードの増加 （AhnLab ASEC Threat Research）

ウェブ魚拓がウイルス感染うんぬん？ （メモ）

　「HTTP Malicious Toolkit IFrame Injection」 というのはNorton SafeWebのものですかね？ このURLアドレスは、だいぶ前の２月にも同じ報告あり。

　コードが難読化してあるけれど、飛び先のロシアドメインに何かしら脆弱性を突くような攻撃コードが見当らず、有害といえる処理が見つけられないので何とも判断がね・・・。（＾〜＾;

hｔｔp://megalodon. jp/contents/000/651/798.mime9 ← 難読化コード
　↓
hｔｔp://noion. ru/img/counter.gif
hｔｔp://noion. ru/count/1.swf?u=/count/count_up.php?count= 〜
hｔｔp://noion. ru/count/count_up.php?count= 〜
　↓
hｔｔp://noion. ru/count/404.php （404 Not Found で取得できず）

---

（追記...）
　「798.mime9」ファイルが「deleted.」に。
・ ウイルス正体判明 （株式会社アフィリティー お知らせ）