無題なブログ

Mac OS X Flashbackウイルス と Javaエクスプロイト

　今週になって、Appleのサポートフォーラム（英語）にMacのFinderやらメニューなどの項目表記がアルファベットと数字を組み合わせた意味不明な文字列に置き換わるという症状を訴える投稿が複数ポストされてます。環境が10.6 Snow Leopardというのが多いでしょうか。

https://discussions.apple.com/message/17662325
https://discussions.apple.com/message/17648803
https://discussions.apple.com/message/17652575
https://discussions.apple.com/message/17653508
https://discussions.apple.com/message/17649335
https://discussions.apple.com/message/17643296
https://discussions.apple.com/message/17640156
https://discussions.apple.com/message/17638393
https://discussions.apple.com/message/17635201

　これがOS X用トロイの木馬型ウイルスFlashbackの亜種に感染したことが原因ではないかという話になっとります。

　Flashbackは去年2011年9月からAdobe Flash Playerのインストーラーという名目で配信が始まり、年を越してもダラダラと配信は継続してましたが、今月2月から配信手法が切り替わって、Javaの旧バージョンにある脆弱性（最新版では修正済み）を悪用し強制的にMacマシンに送り込む手法になってるそうです。
・ Mac OS Xを狙った初のエクスプロイト （Dr.Web）

　んで、下の画像がセキュリティ会社Doctow Webのニュースでも紹介されてる配信サイトの現在のHTMLソース。

　黄色の囲いは、フレームを使ってホンモノの動画サイトUstream（ustream.tv）をブラウザ画面いっぱいに表示。その裏で赤い囲いのJavaアプレットが読み込まれる処理になってます。このJavaアプレットファイルを落とそうと何回か試みてますが、コチラではどうにもダミーの404 not foundが返ってきて弾かれてしまいます。ファイル名からすると↓な目的？
・ rh-*.jar → CVE-2011-3544
・ cl-*.jar → CVE-2008-5353

---

[3月2日 追記...]
　現在の配信サイトはこんな感じになってます（上の画像の赤い囲いのとこ）。Javaの脆弱性を突く用のファイルが２種用意されてましたが、2月29日からCVE-2011-3544の処理一本になりました。これで十分攻撃OKってことなんでしょうかね？

JavaとAdobeを更新してないパソコンが偽セキュリティソフトに強制感染

　偽セキュリティソフト型ウイルスの強制感染の話をブログやTwitterで相変わらず見かけますね〜。ヒドイ目にあったという話や駆除方法をブログで書いてる方がいますが、肝心の感染原因について触れてない所も多くちゃんと対策できてるのか心配。中には、検出できなかったセキュリティソフトのせいにして役に立たなかったと文句を垂れてる人も・・・。

　↓の４つが完璧に更新されていれば、偽セキュリティソフト型ウイルスが強制インストールされるなんてな状況はほぼ100％起こりません。旧バージョンに存在する欠陥を悪用して強制インストールされるので、そこを塞いじゃえば完璧なわけですが、セキュリティソフトは更新作業を代わりにやってくれません。セキュリティソフトをインストールするだけでウイルス対策ができてると思い込んでる人だけ地獄を見ます。

☆ Java 6 Update 31 ← 今月２月更新
☆ Adobe Reader 10 ← 先月１月更新
☆ Adobe Flash Player 11.1.102.62 ← 今月２月更新
☆ Windows Update ← 毎月更新

　困ったことにハッキングされウイルスを撒いてる日本の一般サイトが複数あるので、そこから新鮮なウイルス検体を入手できて有り難いやら有難くないやら。偽セキュリティソフトは目に見て感染が分かるけれど、感染に気づかない情報搾取系のSpyEye/Zeusウイルスを撒いてるところも少なからずあるのでホント恐ろしや・・・。

□ Internet Security ＆ Smart Protection 2012

　　　　　　

　　　　　　

□ FakePoliceAlert／Trojan:Win32/Ransom.FL
　Yahoo!知恵袋でも感染者が駆け込んでる感じですが、”フランス警察”を名乗ってパソコンを人質にとり身代金を要求してくるウイルス。フランス語で書かれた請求画像がパソコンの画面いっぱいに表示されWindowsにロックを掛けられ何もできなくなります。↑の普通の偽セキュリティソフトが可愛く見えるぐらいの衝撃度。

　　　　

RLO拡張子偽装のワンクリウェア WMV動画ファイルに見せかける

　とあるウイルス（ワンクリウェア）配信型のワンクリック詐欺サイト。

　20歳以上＋規約同意で「はい」ボタンを押して”動画再生”ボタンを押すと、ファイルを実行するかどうか尋ねるブラウザの確認ダイアログが表示されます。一般的なワンクリック詐欺だと「〜.hta」（HTMLアプリケーション）という拡張子になってるはずですが、ここのファイルの拡張子は動画形式の「〜.wmv」（Windows Media Video）になってます。

　　　　

　ところが、これはUnicodeの制御文字（RLO）を悪用し拡張子を偽装する手法が使われてるんですねぇ。本当は「〜.hta」ファイルであるにも関わらず、見た目が「〜.wmv」ファイルになってしまってます。仕組みについては↓
・ ファイル名に細工を施されたウイルスに注意！ 見た目でパソコン利用者をだます手口 （情報処理推進機構）

拡張子偽装ファイル：
MovieID_vhbMfLHnPcNR8Un8FutZqUVnhU3i0BlQ‮vmw.EI_noisreV.hta

　実際のところ、エッチな映像見たさにウイルスを自らの意思で実行しちゃうような人は、拡張子すら目にも入らずホイホイとクリックしちゃってデスクトップ画面から料金請求ポップアップ画像がサッパリ消えない状態になってるのが現実なんでしょうけど。