「System Restore」ウイルスを配信してる一般サイトを訪問してみた。

　ハードディスクに重大なエラーがあるというような嘘の警告を示して解消するための”有償版”をクレジットカードで買うよう脅してくる偽パソコン診断ソフト「System Restore」ウイルスに感染した！、というTwitterのつぶやき投稿を先週の金曜日に見かけていたので、そこで指摘されてた日本の一般サイトを昨日訪問してみました。訪問したら、アダルトな内容を扱ってるサイトでしたが。

　ブラウザ内部では下のような感じで強制的に誘導されていきます。広告表示用ページに不正なIFRAMEタグが挿入されていて、たぶんサイト内の全ページがやられてるに等しい状態。普通の広告画像表示とともに、「System Restore」の実行ファイルを強制的に発動する処理まで読み込まれるようになってます。Ustreamの改ざん（?）と同型の攻撃コードでした。

http://＊＊＊-＊＊＊.com/ 〜
　↓
http://ads.＊＊＊-＊＊＊.com/www/delivery/spcjs.php?id= 〜
　↓
http://ads.＊＊＊-＊＊＊.com/www/delivery/spc.php?zones= 〜 ＜↑上の画像＞
　↓
http://（攻撃サイト）.ce.ms/main.php?page=423b262d0a1a9f70 （エクスプロイトキット）
　↓
http://（攻撃サイト）.ce.ms/w.php?f=120&e=2 （ウイルス）

　この一般サイトを訪問したとしても下のソフトが最新状態になってれば、どのセキュリティソフトを使ってようとウイルス強制感染被害は100％起こりません。
・ Java／JRE
・ Adobe Reader
・ Adobe Flash Player
・ Windows Update

　「System Restore」は9月に投入されたウイルスですが、亜種の量産体制がものスゴい勢いなので、セキュリティソフトの純粋な定義データでの対応は少々厳しい状況。セキュリティ会社もスキャンエンジンを更新して汎用的に亜種を検知できるよう対処してるのがVisusTotalの結果を見ると分かるんですが、ある程度数社が対応すると検知できない新たな亜種が投入される”いたちごっこ”状態がずっと続いてます。感染する前に駆除されちゃってはお金を稼ぐチャンスを失ってしまうので攻撃者も頑張ってるわけで。

　私のおすすめ:
System Restore が強制感染する原因ソフトをお手軽バージョンチェック♪