無題なブログ

MicroAd広告配信データ改ざん、ウイルス散布騒動‎ 関連まとめ

★ 2010年9月25日 【障害報告】弊社サービスの改ざんに関するお詫びと報告 （株式会社マイクロアド）

■ 不正プログラム：毎日ｊｐなど被害 広告配信データ改ざん （毎日新聞）

不正プログラム：毎日ｊｐなど障害 広告配信会社への不正アクセス原因‎
└ 毎日新聞サイト、閲覧でＰＣ不具合…おわび掲載 （読売新聞）

■ ADサーバー掲出タグによるセキュリティアラートと対処について （スラッシュドット・ジャパン）
■ 「【重要】サイト閲覧時におけるマルウェア「Security Tool」の不正インストールについて」 （みんなの株式）
■ お詫び：外部配信広告サーバーの障害について （PC Watch ／ ケータイ Watch）
■ 【重要】外部広告サーバーによるセキュリティ上の問題発生のお知らせ （みんカラ）
■ 外部配信広告サーバーの一時障害について （日刊工業新聞）
■ 偽セキュリティソフト「Security Tool」感染爆発、原因はマイクロアド 〜 （GIGAZINE）
■ 【重要】お詫びとご報告について （ALBA.net）
■ お詫び：広告配信用外部サーバーの障害について （株式会社インプレスビジネスメディア）
■ バナー広告コードの改ざんに関するお詫び （newsing）
■ 外部広告配信サーバ障害によるウイルス感染の可能性について （J-CASTニュース）
■ 弊社利用広告サーバーにおけるセキュリティ問題に関するお詫びとお願い （オートスポーツweb）
■ 【重要】外部配信広告サーバーの障害について （価格.com）
■ 株式会社マイクロアドによる、外部配信広告サーバーの障害について （マピオン）
■ お詫び：広告配信用外部サーバーの障害について （Think IT）
■ ABC利用の広告配信用外部サーバーに関する不具合について （朝日放送）
　... きりがないので終り

● 偽セキュリティソフト「Security Tool」の感染について（2010.9.25） （ソースネクスト）
● 平成22年9月25日 「Security Tool」と表示される偽ウイルス対策ソフトについて （東芝）
● Q&AサイトYahoo!知恵袋内にある「ウイルス対策・セキュリティ対策」コーナーが、9月24日22時あたりを境に偽セキュリティソフト「Security Tool」の質問で溢れ返る。

● Security Tool 強制感染の流れ / マイクロアド アドサーバVASCO
● 強制的にウイルス感染する影響があった可能性がある環境
　感染原因となるドライブバイ・ダウンロード対策をやっていなかったWindowsパソコン。利用してるブラウザの種類は関係なし。
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）
・ ホームページからの感染を防ぐために （サイバークリーンセンター）

Security Tool 強制感染の流れ / マイクロアド アドサーバVASCO 改ざん

◆ マイクロアド（MicroAd）広告データ改ざんによるウイルス（Security Tool）散布騒動の簡単まとめ

・ MicroAD社VASCO ADサーバーによるアラート発生iframe挿入事件 （はてな匿名ダイアリー）
・ 広告サーバーからウイルス配信？ （べつになんでもないこと）

（MicroAd広告コード設置サイト）
　↓
hXXp://versus●ipq ●co/statsm?ref=jp
　↓
hXXp://ats●redmancerg ●net/n/index.php
　↓
hXXp://ats●redmancerg ●net/n/l.php?deserialize= 〜

　設置されてるエクスプロイトキットによって生成された脆弱性攻撃コードが降ってくる。

　ドライブバイ・ダウンロード対策を行なっておらず、攻撃が成立した場合に強制的に発動したウイルス（実行ファイル）。攻撃者がファイルを差し替えてる可能性もあるけど、日本語表記にも対応してるインチキソフトSecurityTool（偽セキュリティソフト）の単品タイプ。

VirusTotal
www.virustotal.com/file-scan/report.html?id=2cccbd87d293dd69b8ca2118bf54cae931df25ebc0839701f603c0aa1991d67c-1285378203

Comodo Malware Analysis
camas.comodo.com/cgi-bin/submit?file=2cccbd87d293dd69b8ca2118bf54cae931df25ebc0839701f603c0aa1991d67c

---

（27日 追記...）
　G Data Software株式会社が、この「無題なブログ」の記事も下敷きにして今回の騒動についてのプレスリリースを出してるけど、こんなどこの誰ともしらん個人ブログの情報を元にしちゃって大丈夫ですかね。（＾＾;

　発表されてる文章に登場する『ファイル名：update.exe0925』（VirusTotalの結果）なんて、自分が検体を手動で回収してきた時に名付けたまんまのファイル名なので、実際にはこの名前で発動・感染することはなかったり・・・。

８０８０系のサイト改ざん攻撃の動き （2010年9月中旬）

■ ８０８０系
　ページの最後尾付近に下のような感じの不正なコードが挿入されます。

<script type="text/javascript" src="ｈttp://●●●.●●●/＊＊＊.js"></script>
<!--（32ケタの英数字）-->

　９月８日〜９日ぐらい、複数の改ざん被害サイトからこの不正なコードが一挙に消えうせる動きがありました。なぜか攻撃者自らコードを除去したようです。それ以前から、飛び先のドメインがだいぶ死んでしまっていて、なかなか攻撃コードが落ちてくるところが見つからない状態でした。

　８０８０系改ざんサイトを踏んでウイルス（Bredolab）に感染したパソコンを使って配信されてる迷惑メールにも動きがあったとのこと。
・盗まれたアカウント情報の行方 （cNotes）
・盗まれたアカウント情報の行方 2

　ところが、昨日あたりから一部の改ざん被害サイトで攻撃再開っぽい動きを確認してます。現在は、ロシアドメインのアドレスに誘導する不正なコードが挿入されてます。手元でチェックしていたサイトだと具体的なアドレスはこんな感じですが、検索してみると他の飛び先もあるようで。

addonrock. ru/＊＊＊.js
alienradar. ru/＊＊＊.js

　ソフトウェアの旧バージョンにある脆弱性を突く攻撃が成立した場合に強制発動するウイルス（Bredolab）のVirusTotalの結果。夕方に回収してきたもの。検知してるとこがいくつかあるので、攻撃者が用意して数日経ってる？

www.virustotal.com/file-scan/report.html?id=8ccac43b376be334e5b4ee29055dee1b4dee0f6e8cbf2fb6d2460771a8846793-1284810039

　こんなウイルスにご厄介になりたくなかったら、コチラで紹介されてる対策（無料）をしておくこと。

正規サイトの改ざん関連ニュース （2009年9月始め）

　Gumblar.x改ざんと8080改ざんのニュースをテキトーに。

　So-netセキュリティ通信さん。
・止まらぬサイト改ざん(2)：新たな改ざん攻撃例〜北九州市サイトの改ざん
・止まらぬサイト改ざん(3)：怪しい薬局キャンペーン、日本語と円に対応 （→ 薬局サイトの画像）
・止まらぬサイト改ざん(4)：偽セキュリティソフトも日本語対応に （→ SecurityToolの画像）
・止まらぬサイト改ざん(5)：迷惑メール配信元は感染パソコン

　ロシアのカスペルスキーさん。
　大量にばら撒かれてる迷惑メールで妖艶（?）な外国人の姐さんを使って誘うのは、踏み台として乗っ取られた日本の正規サイト。踏み台用ファイルには、インチキ薬局サイトに誘導するものと、不正なコード（Gumblar.x）が書かれていて。。。
・ Gumblagra and a piano （Kaspersky Blog）

カナダのインチキ薬局サイトが日本語表記に （８０８０改ざんサイト経由）

　
　８０８０タイプの改ざん攻撃で、ページに不正なJavaScriptコードが挿入される以外にも、攻撃者によってサーバー上にHTMLファイルや画像ファイルがアップロードされる場合があります。

　このアップロードされたファイルは、攻撃者が用意した不正なサイトへと誘導するコードが書かれていて、世界中にばら撒かれる迷惑メールの本文中に踏み台用アドレスとして使われます。攻撃者が乗っ取った正規サイトなので、アクセスがブロックされるのを回避できる効果があるんですな。
（ちなみに、迷惑メールはBredolabウイルスで乗っ取った一般のパソコンを使って配信されとるん）

　で、攻撃者が用意した不正なサイト「Canadian Pharmacy」（カナダ薬局）の偽ホームページがいつの間にやら多言語化され、日本語版も含まれてます。機械翻訳なのでヘンテコな日本語がいっぱい。このサイトの実体は、ショッピングページで入力するクレジットカード情報を盗むのが目的。（はたして日本人で買う人いるんかねぇ？）
・spam ; 終わらないサイトの改竄 - LARTH の日記

サイトのタイトル：
人気バーゲン：1つ錠剤1.17 USDからのジェネリックバイアグラ、1つ錠剤1.44 USDからのジェネリックシアリス