無題なブログ

偽ウイルススキャンページ Viruses were found on your computer!

　前からハッキング被害を受けてる日本の企業サイトにアクセスしたら、偽ウイルススキャンページ「Viruses were found on your computer!」へ強制的にリダイレクトされるようになってたので紹介。

　まず、ブラウザの警告ダイアログが表示され、英語でウイルス感染してると言ってきます。

　　　　

Viruses were found on your computer.
You need to clean your computer to prevent the system crash.

《翻訳こんにゃく》
あなたのコンピュータからウイルスが見つかりました。
システムのクラッシュを引き起こすので、コンピュータをクリーンにする必要があります。

　OKボタン（や×ボタン）を押すと、マイクロソフトが提供してる無料ウイルス対策ソフト「Microsoft Security Essentials」（MSE）にソックリ似せたニセのウイルス感染警告ダイアログが出現。実際にはダイアログでも何でもなく、単なる1枚の画像ファイルがブラウザ上に表示されてるだけですが・・・。

Microsoft Security Essentials Alerts
Potential threat details

Microsoft Security Essentials detected potential threats that migth compromise your privacy or damage your computer. You need to clean your computer immediately to prevent the system crash.

× Trojan-PSW.Win32.launch
！ HackTool:Win32/Welevate.A
× Adware.Win32 Fraud

　右下に見える[Clean computer]ボタンを押すと、”駆除ツール”を装った本物のウイルス（install.zip）のダウンロードとなります。ファイルは圧縮されてるので解凍すると、中には「setup.exe」という１つの実行ファイルが用意されてます。これをユーザー手動で実行して始めて感染状態となります。

　　　　

　Yahoo!知恵袋で検索してみると、これに出会ったという報告が記事を書いてる時点で４件確認できます。そのうち１件はナンとまあ「setup.exe」を実行するところまで進んでます。パニック状態にさせたりウイルス感染と思い込ませる効果はあるようです。

■ ウイルスを実行して感染させてみる
　手元のパソコンで実行して感染させてみたとろ、外観デザインがマイクロソフト風なバリバリの偽セキュリティソフト型ウイルスでした。デタラメなウイルス感染警告を表示して、パソコンのあらゆる操作を妨害され、これを解決したいならクレカ番号を送信して有償版を買うよう脅してきます。

ワンクリックウェアを配信するアダルト動画サイトを装ったワンクリック詐欺サイト

　最近ぜんぜんチェックしてませんでしたが、マルウェア（ワンクリックウェア）を配信してるアダルト動画サイトを装った日本のワンクリック詐欺サイトにて、動画ファイルを装ったHTAファイルを実行してパソコンに感染させてみました。

[１] エッチな映像を再生する直前の規約同意のシーンです。

　

[２] 同意して再生ボタンを押すと、RLO拡張子偽装が施されたHTAファイルの起動を促されます。拡張子が「〜.wmv」となっていて表面上は動画のWMVファイルのように装わせてありますが、単なるHTAファイルです。この段階で怪しいと気づける人がいればいいのですが、引っかかる人の頭の中は卑猥な映像を見ることしかないのでどうにもならないのでしょう。

　

[３] ファイルを開くと、Windows Media Playerが起動してエッチな映像が数分間再生された後にパソコン画面の中央にポップアップ画像が出現します。「動画の続きを視聴しますか？」という質問で『続きを視聴』『取り消す』の２択となってます。

　その下には「これより先に進みますと会員登録が完了し90日間定額制8,5000円の料金が発生します。なお登録と同時に登録確認画面が一定期間パソコン画面上に表示されます。また登録確認画面につきましては利用料金のご入会が確認できないと削除できません。」とあります。

　

[４] 『続きを視聴』ボタンを押してしまうと、これで無事にマルウェア（ワンクリックウェア）の感染状態となります。レジストリとタスクスケジューラの２ヶ所が不正に改ざんされ、「有料アダルトサイトへのご登録ありがとうございます」というポップアップ画像がパソコン画面の右下に出現し続けます。

　

・ レジストリ → パソコンを起動した時に登録確認画面を表示させる目的で改ざんしてるようです。
・ タスクスケジューラ → パソコンを起動してる最中に登録確認画面を継続的に表示させる目的で改ざんしてるようです。

[５] ポップアップ画像をクリックするとブラウザが開いて、料金や口座番号、請求の正当性を主張する説明ページが表示されます。通常利用価格85,000円が2日以内ならキャンペーン特別価格65,000円となっていて、早く払ってしまえば少し安く済むと錯覚させるワンクリック詐欺では定番の手法です。

　

・ ワンクリック料金請求にご用心 （警視庁）