無題なブログ

Gumblar（ガンブラー）による.htaccessファイルの誘導先を踏んでみる

　セキュリティ会社LACが、不正な「.htaccess」ファイルをアップロードするというGumblar（ガンブラー）の改ざん報告というのを先日発表しとりました。
・【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認 （LAC）

　で、今現在のリリース文にはロシアドメインのリダイレクト先のURLアドレスが隠されてますが、実は最初はLACがここを修整し忘れて掲載してました。修整される前の段階でニュースとして転載したのがマイコミジャーナルの記事です（＾＾;

http://satelitdew●ru/ ⇒ http://********.ru/

　ってなわけで、早速ここにアクセスしてみました。複数回のリダイレクトの後、インドドメインのページでウイルススキャンを行うインチキシーンが表示されました。ウイルスが”検出”されたぞ！と驚かせて、”駆除ツール”と称する偽ウイルス対策ソフトをダウンロードさせようとする典型的なスタイルです。

http://satelitdew●ru/
　↓
http://us-ca●ru/
　↓
http://www1.fogat42in5●in/
　↓
http://www1.boost-cureonmypc●in/

http://farm3.static.flickr.com/2739/4405586621_a84b46f849.jpg

---

　で、ここから促されるままダウンロードしてきた”駆除ツール”を実際に起動させてみました。
　　http://farm5.static.flickr.com/4041/4405580769_018850a01b.jpg

　　http://farm5.static.flickr.com/4060/4405580781_52a1226bb6.jpg

　　http://farm3.static.flickr.com/2780/4405580773_6c6a6b48fe.jpg

　結局、”Security Antivirus”なる偽ウイルス対策ソフトが導入されました。Microsoft Windows系ソフトのデザインを意識しまくってるのが分かります。

・ .htaccess 改ざん （.htaccess redirect hacks）

Gumblar.xの改ざん攻撃は特に変化なく継続中...

　先月２月に戻ってきた「Gumblar.x」の改ざん攻撃は特に変化なく継続中です。
　改ざん被害を訴える方々をテキトーに。掲載されてる不正なコードのURLアドレスが素のリンクになっちゃてるところがあるので注意！

http://q.hatena.ne.jp/1267491621
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1337156883
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1236617552
http://www.google.co.jp/support/forum/p/webmasters/thread?tid=2f7d48c02f3144d3&hl=ja
http://www.google.co.jp/support/forum/p/webmasters/thread?tid=662f79790d672240&hl=ja
http://www.google.co.jp/support/forum/p/websearch/thread?tid=6435fa7d80e5733a&hl=ja

　16日から「Gumblar.x」で発動することになるウイルス（Daonol/Kates）をテキトーに追っかけとりますが、攻撃者は数日に１回ぐらいの間隔で検体を差し替えてます。中の人が手動でウイルスをゲットしてきて定義ファイルに追加してってるカスペルスキーも、一番対応が早いとこですが、数時間〜半日ぐらいはゼロデイな状態になってる感じです。

　無料でできる対策をちゃんと行っとけば、このウイルスにお世話になることもなく無問題。

---

　ここ数ヶ月の改ざん騒動で企業向けの改ざんチェックサービスをよく見かけますが、Googleウェブマスターツールを利用すると、仮に自分のホームページが改ざんされた場合でも、Googleから警告が来たり、具体的に改ざんされてるページのアドレスや改ざんコードを提示してくれます。

　ウェブマスターツールの利用は無料です。あらかじめ登録したホームページの管理者であることを証明するサイト認証が必要です。（Googleウェブマスターセンター、Google Webmaster Central Blog）

Gumblar.xの脆弱性を突く不正なコードにJavaを悪用する処理？

　2010年2月に活動を再開した「Gumblar.x」の改ざん攻撃ですが、16日ぐらいにJava（JRE）の脆弱性を突くっぽい処理が出現してます。

　ただ、先週から普通に直でアクセスしようとしても、脆弱性を突くコードなり検体なり降ってこないんよねぇ・・・。Wepawet経由のものは↓。
・従来のタイプ
・新しいタイプ

● Gumblar.x の悪用ソフト
・Microsoft関連
・Adobe Reader
・Adobe Flash Player
・Java [New!]

● ru:8080 の悪用ソフト
・Microsoft関連
・Adobe Reader
・Java

---

（追記...）
　試しにjsunpack経由してみたら、発動するウイルス本体の実行ファイルはゲットできました。
・VirSCAN.org ... ttp://www.virscan.org/report/98034be1987e34f200fe5cb9a8f6f7dd.html
・Anubis ... ttp://anubis.iseclab.org/?action=result&task_id=1b08c57fbc0f6516441894c15e33ad92f

---

　Adobe Flash Playerのセキュリティアップデート（10.0.45.2）が先週行われてます。バージョンチェックはこちらから〜

「Gumblar.8080」の改ざんコード、規則性が崩れて複数に分裂

　サイト改ざん「8080」の改ざんコードが今日９日変更されました。

　『/*GNU GPL*/』『/*LGPL*/』『/*Exception*/』という特徴的な目印（コメント文）、そして直近のものだと目印がないながらもコードにいちおう規則性があったんですが、今回からコードが複数に分裂してサイトごとにほとんどバラバラな感じ。

　上の画像は改ざん被害を受けてるサイトからテキトーに先頭部分のコードだけ抜き出したもので、<script>以降が・・・ （＾＾;

　解析妨害のためか、アクセス規制が激しいんだそうな。
・インジェクション 8080のアクセス制御？ - cNotes

---

人力検索はてな 1

2010年2月 「Gumblar.x」の改ざん攻撃再開 ・ 続報

　↑ ボカシまくってますが、とある国会議員さんの公式サイト。（おそらく新規）

　去年の段階ですでに「Gumblar.x」の改ざん被害を受けていて、手元でチェッカーを走らせていたサイトは、ほぼすべて再改ざんされてしまいました。今現在、日本の陥落サイト４０ヶ所をチェッカーで監視してます。
　改ざんされてるサイト数は「8080」と比べると圧倒的に多い感じ。（カスペ調べで去年の12月の段階だと日本のサイトは4ケタ）

　海外フォーラムでポツポツと改ざん被害の報告が挙がってるぐらい。セキュリティ会社のアラートは特になし。

---

（9日追記...）
　上の議員さんのサイトは不正なコードが削除されたので対処した？