無題なブログ

プロ野球選手 田口壮さんの公式サイト改ざん被害

　アメリカ大リーグにもかつて所属していて、今はオリックスに属しているプロ野球選手、田口壮さんの公式サイト（www.taguchiso. com）が改ざんされてるとのこと。Google検索には、お馴染のセーフブラウジングの警告文言がすでに表示されてるので、改ざん被害を受けてからもう数日間経過しちゃてるんでしょうな。

　さっそくページを訪問してみると、BODYタグのすぐ直後に難読化された不正なJavaScriptコードが挿入されてます。コードの挿入位置、コードの雰囲気がなんかガンブラーと違うな、と思いながら難読化コードを解除してみましたが、最初の飛び先から分かるように、いわゆるガンブラー（Gumblar.8080）の改ざんコードではないです。

　導かれる流れは下のような感じ。同じIPアドレスだと２回目以降のアクセスは弾かれます。

http：//www.taguchiso. com/
　↓
http：//grepad. com/in.cgi?2
　↓
http：//ginopost. com/grep/
　↓
http：//ginopost. com/grep/pdf.php
http：//ginopost. com/grep/j1_893d.jar
http：//ginopost. com/grep/j2_079.jar
http：//ginopost. com/grep/load.php?spl=javas
http：//ginopost. com/grep/load.php?spl=mdac
http：//ginopost. com/grep/load.php?spl=Opera_telnet

　アクセスするブラウザごとに降ってくる処理は変動するんですが、Microsoft系、Adobe Reader、Java、Operaなんかの脆弱性を突く処理が用意されてる感じです。（要は主要なWindows用ブラウザをすべて網羅）

　悪用されるソフトウェアを最新版にしていて脆弱性を塞いでいればまったく何も問題はありやせんが、古いバージョンのまま更新しないで放置していると最終的に発動することになるウイルス本体の実行ファイルはこちら。

Gumblar.8080改ざん、ゼロデイなJava脆弱性攻撃 （緊急Update 20）

　いわゆるガンブラーウイルスの「Gumblar.8080」改ざん攻撃が、セロデイ状態だった「'Java」（Java Deployment Toolkit）の脆弱性を突く処理をさっそく用意してるとのこと。Oracle（Sun）は脆弱性に対処する「Java SE 6 Update 20」を緊急にリリースしてます。
・Java Deployment Toolkit の脆弱性を悪用したゼロディ攻撃を観測 （IBM Tokyo SOC Report）
・Javaの新しい脆弱性を突く攻撃出現、国内企業で被害を確認 （ITpro）
・Oracle、「Java Runtime Environment (JRE)」の脆弱性修正版を公開 （窓の杜）

・Java （FFXI(仮)）
・Java 6 Update 20緊急リリース （べつになんでもないこと）

　最近ではあまりニュースを見かけなくなっちゃいましたが、「Gumblar.8080」改ざん攻撃は継続してて、普通に日本の一般サイト（企業・個人）もやられまくってます。改ざん被害を受け不正なデータが埋め込まれてしまってるサイトを運悪く今日とか明日に踏んじゃってもおかしくない状況なので最新版へ更新を〜
・ホームページから感染するウイルス拡大中！ （サイバークリーンセンター）

・Javaは無料ソフト（更新も無料）
・Javaのバージョン確認はこちら
・Javaはパソコンを購入した時点であらかじめインストールされてる場合があるので注意
・Javaはあえて新規に導入する必要はなくって、不要ならWindowsの「アプリケーションの追加と削除」で削除しても特段問題ないです

　いわゆるガンブラーウイルスの対策で、最新版へと更新すべきものとして「Adobe Reader」や「Adobe Flash Player」の名前は挙がっていても、「Java」について触れてないところをよく見かけます。あとは、”〜など”の扱いになってるニュース記事も。

ガンブラーウイルスの飛び先「ru:8080」の次？

　いわゆるガンブラー（カスペでいう「Pegel」）で、不正なコードで導かれる飛び先のドメインは、ロシアの「〜 .ru:8080」でしたが、新たな場所が出現してるそうな。「〜 .info:8080」「〜 .com:8080」「〜 .at:8080」とのこと。
・Gumblarは今も元気です （べつになんでもないこと）

　手元でチェックしてる改ざんサイトでは、オーストリアの「〜 .at:8080」というのがあったので、少し追ってみたけど、アクセス制限で先端まで進めず。

http：//www.daini-survey●com/ ｛正規サイト｝
　↓
http：//helphomecare●at:8080/google.com/pconline.com.cn/pogo.com.php
　↓
http：//helphomecare●at:8080/index.php?ja=&jl=
　↓
　？

---

　G`nomeさんとこで取り上げられてるのもの。BODYタグの直後に”ADタグ”で囲まれた不正なJavaScriptコードが挿入されとります。ページの最下部にも不正なコード。おまけに、ロシアサイトへの不正な隠しリンクも大量挿入されちゃってますな（画像の赤い囲い）。
・［WARNING］# Fighting Malware(MalwareURL)に、なんかいろいろ捕捉〜 （UnderForge of Lack）

　１つだけ追ってみたところ、飛ばされて脆弱性を突くファイルを読み込まされてウイルスの実行ファイル本体が発動するスタイル。（VirusTotal）

http：//www.soccer-mania●jp/ ｛正規サイト｝
　↓
http：//imgdownloads●com/in.cgi?3
　↓
http：//imgdownloads●com/in.cgi?2
　↓
http：//ezuis●in/x/index.php?s=27927418b656f3434153de84b9889582
　↓
http：//ezuis●in/x/i386.jar
http：//ezuis●in/x/78346.jar
http：//ezuis●in/x/ie.swf
http：//ezuis●in/x/l.php?s=mdac
http：//ezuis●in/x/l.php?s=snapshot

無料ウイルス対策ソフト Avira AntiVir Personal 10

　ドイツのAvira社が開発してるウイルス対策ソフト「Avira AntiVir」（アビラ・アンチヴィア）のバージョン10がリリースされたので、無料の「Avira AntiVir Personal 9 日本語版」⇒「Avira AntiVir Personal 10 英語版」の形ですが導入してみやした。（Downloads.com）

　現在のとこ、バージョン10は英語版とドイツ語版だけで、日本語版はニュースレターによると５月と書いてあります。

Avira アンチウイルス ソフトウェアの最新バージョン 10 が間もなくリリースされます。
（中略）
５ 月末から、日々のアップデートによって自動的に更新が行われ、最新バージョンをご利用いただけるようになります。

　Avira AntiVirのメイン画面。UIのデザインが変わりました。アイコンも変わってます。

　Avira AntiVirの設定画面。今まで「General」（全般）の中にあった「Update」（更新）の項目がツリーの上位に移動。新しく追加された設定項目が下の「Warnings」。上下スライド式でポップアップされる情報ダイアログの表示の有無を指定できます。

　常駐監視機能（Avira Guard）のウイルス検出時の警告画面。従来のダイアログボックスからスライド式ポップアップになりました。（フォントの関係か文字の潰れで見にくい）

・プロセス
　プロセスに常駐するファイルが１つ増えました。無料版は基本的に「avguard.exe」「avgnt.exe」「sched.exe」でしたが、ここに「avshadow.exe」が加わってます。ファイルの説明は「AntiVir shadow copy service」となっていて、どういうものかいまいち分かりませんが、激しく常駐してる感じはないですかね。

鳥取県 水産試験場の外部ページが改ざん被害 （Gumblar.x）

　
　鳥取県のホームページ内（www.pref.tottori.lg.jp）にある水産試験場の公式サイトからリンクが貼ってある外部ページが「Gumblar.x」の改ざん被害にあってます。上の画像の矢印で示したリンクが、水揚量やら水温のデータがのっかってるOCN内のホームページスペース。

　このURLアドレスを持った全ページが改ざんされていて不正なデータが挿入されとります。

http://www3.ocn●ne.jp/~tthome/ 〜

・改ざんされ挿入される不正なコードに見る「Gumblar.x」と「8080」の違い

---

（追記...）
・水産試験場ホームページの改ざんについて