無題なブログ

「ポイントタウン」「ふくびき.com」「ヤプログ」などがサイト改ざん

　GMOが運営するいくつかのサービスで表示される広告ページが改ざん被害を受けたようです。ネットの情報だと「ポイントタウン」「ふくびき.com」「ヤプログ」。同一広告を表示させてた複数のサービスに影響があるみたいなので範囲は広そうですな・・・。（＾＾;

　現在、この改ざんページは撤去されてるようなので、実際にどういうコードが挿入されてたのか分からんですが、Googleセーフブラウジングの警告情報では「mashckinvalery .com」というサイトにアクセスさせる形になっていたとのこと。。。

　それを元に突撃してみたところ、アクセスするタイミングなのか、こちらでは誘導する３パターンを確認できました。Adobe Reader、Java（JRE）、Internet Explorerがらみの脆弱性を突いてウイルスを強制発動させようとしてる感じです。

http：//mashckinvalery .com/tds/in.cgi?default
　↓
http：//mashckinvalery .com/tds/in.cgi?27
　↓
http：//joprestons .net/jut7/index.php?s=31b08bf70119daf8d7ad0120b036389a
　↓
http：//joprestons .net/jut7/load.php?spl=mdac （Microsoft MDACの脆弱性用）
http：//joprestons .net/jut7/1.jar （Javaの脆弱性を突くJARファイル）
http：//joprestons .net/jut7/pdf.php （Adobe Readerの脆弱性を突くPDFファイル）

http：//mashckinvalery .com/tds/in.cgi?default
　↓
http：//mashckinvalery .com/tds/in.cgi?19
　↓
http：//dbkws .in/x/index.php?s=86369c20cae2138baf4dc9cfcec7013f
　↓
？？？ （アクセスできず）

http：//mashckinvalery .com/tds/in.cgi?default
　↓
http：//sportxxx-ltd .com/hehehe/index.php?s=0317b985932f766fe765ea10854a53ef
　↓
http：//sportxxx-ltd .com/hehehe/pdf.php
http：//sportxxx-ltd .com/hehehe/1.jar

　で、特に報告が多いポルノサイトに飛ばされる現象ですが、こちらの場合は２回目のアクセスでリダイレクトされるのを確認できました。もしかしたら、対策が行なわれているなどして、脆弱性を突けない環境だった場合にも飛ばされるのかもしれんです。

http：//mashckinvalery .com/tds/in.cgi?default
　↓
http：//sportxxx-ltd. com/hehehe/404.php
　↓
http：//sportxxx-ltd. com/tds3/go.php?sid=1
　↓
http：//realhorny-tube. org/?id=FF5176BD6B0E1E90278668854CACC84F17 （ポルノサイト）

　で、このポルノサイトですが、実はダミーです。ページ内を進んでいくと、動画の再生に必要なコーデック「codec.exe」なるもののダウンロードを促されますが、コーデックでも何でもなくウイルスです。ここではえっちな動画はいっさい見れません。（＾＾;

http：//realhorny-tube. org/video.php?id=&sid=#player
　↓
http：//realhorny-tube. org/download.php?id=12345

　まとめると、この攻撃によるウイルス感染方法は下のような形になります。
１．脆弱性を突いて強制的にウイルスに感染させるスタイル
２．エロを餌にユーザーの意思でもって手動でウイルスに感染してもらうスタイル

---

・ ホームページがハッキングされ不正なコードが埋め込まれた場合の復旧方法

NON STYLE 井上裕介さんの個人ページ「Gumblar.8080」改ざん

　お笑いコンビNON STYLE（ノンスタイル）のツッコミ担当、井上裕介さんの旧（？）個人ホームページが改ざん被害を受けてるとのこと。正確に言うと、トップレベルの株式会社アオイシステムのホームページ自体が改ざんされて不正なデータが挿入されちゃてるので、単にまきぞいを受けてるだけなのかも。。。

　改ざんデータは、ページの最下部に挿入されてるJavaScriptコードで、コードは難読化されてるのでテキトーに解除すると、不正なロシアドメインのURLアドレス（loadtube. ru）にアクセスさせる処理が出現しやす。

http：//www.aoisys. com/ （株式会社アオイシステム）
http：//www.aoisys. com/nonstyle/ （NON STYLE井上の世界）
　↓
http：//loadtube. ru:8080/tnaflix-com/google.com/google.sk.php

　改ざんのタイプはいわゆる「Gumblar/ガンブラー」で、「8080」「Gumblar.8080」と呼ばれてるもの。
　去年の2009年12月から改ざん攻撃が特に活発になり、ＪＲ東日本、トヨタ自動車、ローソン、ハウス食品などなど、日本の名だたる企業のホームページを陥落させた実績を持ってます。2010年5月になっても勢いは収まってなくって、世界中の企業サイトや個人サイトが被害を受けてます。

　先月の4月には有名タレントさんがたくさん所属してる大手芸能事務所ケイダッシュ（www.kdash.jp）のホームページや、その傘下にある所属してる人たちのプロフィールページが改ざん被害を受けてましたーね。

　アクセスさせる誘導先には、Adobe Reader、Java（JRE）、Internet Explorerがらみの脆弱性を突く処理が用意されてます。それらをちゃんと最新版に更新してあれば別に何も問題ないですが、更新しないで古いバージョンのまま放置してるWindowsパソコンは、ページにアクセスしただけでユーザーの意思なぞ関係なくウイルスに感染してしまう恐れがあります。

★ ウイルス感染の影響を受けるのは↓の対策をやってないWindowsパソコンだけ！
・ 初心者必見！ 究極の感染対策「6つの約束」を実行しよう （So-netセキュリティ通信）
・ ホームページから感染するウイルス拡大中！ （サイバークリーンセンター）

偽セキュリティソフトを仕掛ける攻撃者も御愛用のセキュリティソフトは？

　↑のスクリーンショット画像は、改ざん被害を受けてしまってる一般サイトを経由し強制的に導かれた偽ウイルススキャンを行なってるかのようなインチキ詐欺演出がブラウザ上に表示される不正サイトです。（偽ウイルスチェックのリアル体験）

　表示されてるウイルス検出警告は当然ながら全くのデタラメで、ブラウザ画面内をひとたびクリックすると、”駆除ソフト”と称した実行ファイルをダウンロードするよう促されます。それがまんまウイルスなんですが、ユーザーの意思でもって起動しない限り感染状態にはならないタイプですな。

　で、何気にこのページのHTMLソースを覗いてみたら、攻撃者より愛のメッセージが。。。

#hello_nod32_guys_how_u_doing ⇒ やあ、NOD32の中の人、元気かい？
#nod32_is_the_best_av ⇒ NOD32は最高のウイルス対策ソフトだね
.nod32_is_my_favourite_av ⇒ NOD32は私のお気に入りのウイルス対策ソフトだよ

　・・・。 （＾＾;

　日本では、アフィリエイト活動の影響で、いわゆるウイルス対策ソフトの”比較サイト・ランキングｻサイト”から軒並み「おすすめ１位」として扱われてしまう欧州スロバキアのESET社（イーセット）が提供するウイルス対策ソフト「NOD32アンチウイルス」を、スタイルシートのCLASS名やID名を使って名指しで賞賛してまんがな。

　私のおすすめ:
アンチウイルスソフト比較

Gumblar.8080改ざん攻撃と「wwwzuc32.exe」ウイルス

　たまたまYahoo!知恵袋にてこんな質問を発見〜。10日付けのものです。

「 wwwzuc32.exe 」について教えてください。

先日、ウイルスに感染したパソコンがあり、なんとか除去は出来たかと思うのですが、
システム構成ユーティリティでスタートアップを確認しますと、「 wwwzuc32.exe 」
というものがあり、何度チェックを外しても、再び確認するとまた自動的にチェック
がされています。
（以下略）

　で、「wwwzuc32.exe」というキーワードでググってみたら、ここ最近（先週から？）の「Gumblar.8080」の改ざん攻撃を受けたページの閲覧で発動・感染することになるファイル名のようですな。

　こちらの海外のフォーラムでは、VirusTotalのファイルスキャン結果（５日、７日、11日）が書き出されてます。それを見ると、攻撃者はセキュリティソフトが検出しない新しい検体をきっちり用意しファイルを差し替えて攻撃遂行してるのが分かります。

　ウイルスの発動を回避するには、さんざん言われてるように悪用されるソフトウェアの脆弱性を塞ぐためちゃんと最新版に更新すること。
・サイバークリーンセンター → ホームページから感染するウイルス拡大中！

　私のおすすめ:
セキュリティソフトランキング

Gumblar.xの改ざんコードは日本のIPアドレスからのアクセスを弾く!?

　ロシアのセキュリティ会社カスペルスキーのブログにて、Gumblar.xの改ざんコードは日本からのアクセスのみ弾いてる、ってな情報をのせてます。
・Gumblar: Farewell Japan （Kapsersky Securelist）

　Gumblar.xの改ざんコードは、BODYタグの直前に不正なJavaScriptタグが挿入されるシロモノです。今年は２月の初めに活動を再開して、現在でも攻撃は継続中です。

</head>
<script src=http://*****/****.php ></script><body 〜

　日本も含め世界中のホームページがやられてます。カスペのブログにのってる改ざんサイトの国別ランキングだと、１位アメリカ、２位韓国、３位タイ、４位トルコ、５位日本。
　たとえば、海外ですが下はジョニー・デップ＆ティム・バートンによるディズニー映画「アリス・イン・ワンダーランド」の韓国版公式サイト（alice2010. co.kr）。日本のディズニー社の公式サイトは大丈夫です。

　この改ざんコードで最終的に感染するウイルスは、「Daonol」「Kates」と名付けられてます。主要な挙動は、ホームページの更新に利用するFTPアカウント情報の奪取です。

　ちなみに、有名タレントさんがたくさん所属してる芸能事務所ケイダッシュのホームページが改ざんされるというニュースが先日ありましたが、こっちはGumblar.8080（カスペの呼称は「Pegel」）。最終的に発動するウイルスは「Bredolab」というもので、機能的にはいろんなウイルスをダウンロードしてきて感染させるプログラムです。これにやられると、事実上パソコンが乗っ取られちゃいます。（詳しくはトレンドマイクロ ブログ）

　で、Gumblar.xが日本を弾いているというのは自分は薄々気づいていて、今回の情報は「やっぱり」というのが感想です。攻撃活動を再開した２月の始め直後は日本からも問題なくアクセスできていたんですが、数日後には空のデータしか降ってこなくなってました。

　それを証明できるデータもないので、以降のチェックは海外のプロクシ経由で行ってましたが、実際に唯一日本だけ特別扱いしてるんですな。なんでなんでしょ・・・？

　カスペのブログでは「free IP-to-country database」を使って日本を示す”111”を弾いているとのことですが、これは具体的にはMaxMind社の「GeoIP」のことです。