無題なブログ

スマホ版ワンクリック詐欺に不正Androidアプリ（ワンクリウェアウイルス）登場

　スマートフォン向けのワンクリック詐欺サイトにてAndroid端末向けにエッチな動画の”再生専用アプリ”という名目の不正アプリ（Android版ワンクリウェア）がついに登場したようです。今まではスマホだと、ブラウザ上に入会登録請求画面のページが単に表示されるだけでしたが・・・

http://toro.2ch.net/test/read.cgi/antispam/1324818428/51-100

51 ：オレオレ！俺だよ！名無しだよ！：2012/01/05(木) 21:03:28.62 ID:Z7IT+B7W0
相談です。 

２日ほど前、スマートフォンで 
『ゲームどぅんがぁ』 
というサイトのアダルト動画をクリックしたら、 
無料動画試聴アプリをdownloadしますか？　となり、 
アプリをdownloadした後に 
『登録しました、料金を３日以内に〜』のお決まりの画面が出てきました。 

　　　　

　配信されてる「v_timer.apk」をセキュリティソフト「BitDefender」がトロイの木馬型Android.Trojan.FakeTimer.Aとしてます。（日付はファイルのコンパイル日）

www.virustotal.com/latest-report.html?resource=537f190d3d469ad1f178024940affcb5 12月30日
www.virustotal.com/latest-report.html?resource=60b1c98fc6ca2b86fbd7c772dc08a73e 1月11日
www.virustotal.com/latest-report.html?resource=16704d51989f0802b6b0f62c0b4f5e99 1月19日

www.virustotal.com/latest-report.html?resource=44d31414a63a090e5a54670c33e0d1bc 2月7日
www.virustotal.com/latest-report.html?resource=c9c7ae465d712eb79976b34b0f76f1db 2月9日
www.virustotal.com/latest-report.html?resource=2b609e4acfebbee57ecf6ddbfd8202d2 2月14日

　中身。電話番号を取得して請求画面上に表示するみたい。

---

[13日追記...]
・ スマホを狙ったワンクリックウェアを確認。執拗に請求画面を表示し、電話番号の流出も （トレンドマイクロ）
・ 日本人を狙う、スマートフォンアプリを使ったワンクリック詐欺 （シマンテック）

「ホワイトリボン・ジャパン」改ざん ダイエット薬やバイアグラの大量隠しリンク

　「ホワイトリボン・ジャパン 公式サイト」（white-ribbon.org）が改ざんされてますかね。ウイルスの散布ではなく、ダイエット関連（Obesity、Weight Loss、Fat Loss、Xenical、Acomplia、Slimex）やらバイアグラ（Viagra）の販売ページに向けた隠しリンクがページ内の最後尾付近に大量挿入されちゃってます。

　リンクされてるダイエット薬の販売ページ↓。一般サイトをハッキングして自作自演の被リンクを用意し、Googleなどの検索エンジンでこの販売ページを不正に上位表示させようと企んでる形。

　　

サイト改ざんウイルス配信サイト化 『<script>aa=([].slice+'hjkbghkj').substr(2-1,4) 〜』

　
　ん〜、ここ１週間ぐらいに日本国内サイトで同じ不正な攻撃コードがページ内にバンバカ挿入され、ルートキット機能を持ったウイルスの配信サイトと化してるのを複数見かけてます。サイト管理者のパソコンがウイルス感染してFTPアカウントが抜かれたんでしょうか？ 攻撃コードが大量挿入されまくった影響でHTMLタグが崩壊し上のようにサイトが半壊れ状態になってるところも。。。

http://[一般サイト]/
　↓
http://[攻撃サイト].in/main.php?page=16d970fea71afa81 （エクスプロイトキット）
　↓
http://[攻撃サイト].in/w.php?f=75&e=2 （ウイルス）

　下の更新がちゃんとできてないと改ざんされてるサイトを単に踏んだだけでウイルスが裏で強制感染してしまう確率が激増します。ちゃんと最新版にしてあればウイルス感染が100％回避されます。
・ Windows Update
・ Java
・ Adobe Reader
・ Adobe Flash Player

　パソコン内の情報を収集しちゃう系ウイルス。

感染ウイルス解析：
www.threatexpert.com/report.aspx?md5=b0481f871acae22d7c081a523a1341da

北海道長万部町ゆるキャラ「まんべくん超サイト」 リダイレクト改ざん

　Twitterに情報がでてましたが、北海道長万部町のゆるキャラ（!?）な「まんべくん超サイト」がリダイレクト改ざんされてますか。GoogleやWikipediaのような検索エンジンや著名サイトを経由して、この「まんべくん超サイト」にアクセスすると不正なロシアドメインのサイトに強制リダイレクトされるようになってます。

http://manbe. jp/
　↓
http://＊＊＊＊＊.ru/access/index.php

　このロシアドメインのページは、ブラウザ上に偽ウイルススキャンのアニメーションを表示するところみたいですが、この記事を書いてる時点でアクセス不能だったため、配信してるウイルス検体は入手できませんでした。

日本のSpyEyeウイルス配信サイト - ネット銀行のアカウントハック

　明けましておめでとうございまーす。

　新年１発目はSpyEyeウイルスです。SpyEyeはロシア製の有償ウイルス作成キットで、そこから作成されたウイルスの名称でもあります。このウイルスに感染してしまうと、パソコンから金目になりそうな情報を引っこ抜かれます。日本国内でも去年2011年にウイルス感染パソコンからネット銀行の口座のアカウント情報が漏れて不正アクセス＆送金被害が複数発生したとのことです。官公庁や企業へのサイバー攻撃が話題になりましたが、こっちはかなーり身近な脅威です。

https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/spyeye_20110817
http://www.ipa.go.jp/security/txt/2011/09outline.html
http://internet.watch.impress.co.jp/docs/news/20111215_498996.html

　んで、↓の普通の日本国内の一般サイトはSpyEyeウイルスを絶賛配信中です。別にいやらしいアダルトサイトとかではないです。去年の12月下旬に見つけました。

　　　

　このサイトのHTMLタグを見てみると、BODYタグの直後に不正なJavaScriptコードが挿入されていて、ブラウザ内部で外部の攻撃サイトが強制的に読み込まれるようになってます。

　ブラウザ内部の誘導の流れはこんな感じ。

http://＊＊＊＊＊.sakura.ne.jp/
　↓
http://[攻撃サイト１].com/in.cgi?2 （リダイレクター）
　↓
http://[攻撃サイト２].com/ttc1/index.php?eba54a29b4fee355ce23823a65bbb549 （エクスプロイトキット）
　↓
http://[攻撃サイト２].com/ttc1/server_privileges.php?e01023d1ede4694b5f7e67e55dedd6cf=1 （SpyEyeウイルス）

　下の条件に１つでも当てはまってると、この一般サイトを単に訪問しただけで知らないうちにウイルスが強制感染してしまう確率が爆増します。当てはまってなければ、100％ゼッタイに感染しません。
・ Windows Update をしてない
・ Java（JRE） が古いバージョンのまま更新放置
・ Adobe Reader が古いバージョンのまま更新放置
・ Adobe Flash Player が古いバージョンのまま更新放置

　ちなみに、このウイルスのVirusTotalのスキャン結果はコチラ。セキュリティソフトのウイルス定義データによる検出対応は、後手後手の後追いなので過信しすぎないように。去年12月から発動するウイルス検体は数日間隔で差し替えられていて、それをセキュリティソフトがひたすら後追いしてます。

www.virustotal.com/file-scan/report.html?id=2b932dc43316317049cfe2f9fea78a13316a6966dab51e644534bc3fe44298bd-1325384677 （1日時点）
www.virustotal.com/file-scan/report.html?id=2b932dc43316317049cfe2f9fea78a13316a6966dab51e644534bc3fe44298bd-1325468057 （同じ検体の2日時点）

　どういう感染挙動を行うのかは、ウイルス検出名で調べると説明が用意されてるマイクロソフト。「偽セキュリティソフト」みたいに目に見えて騒ぐこともなく、任務を遂行するためひっそりと活動するので、いざ感染してもサッパリ気づかないのが怖いところ。

www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Trojan%3AWin32%2FEyeStye.N

・ 感染後にセキュリティソフトから検出できなくなるよう自分自身を隠ぺいするルートキット機能
・ ネット銀行を訪問して入力されたログイン情報のデータを搾取して送信
・ Facebookのような人気サイトのパスワードの搾取、キーボードの入力情報を記録するキーロガー機能で情報を送信　
・ 自分自身をアップデートするためのダウンロード機能