無題なブログ

偽物「AVG Anti-Virus」にあるチャットサポート機能を試してみた

　　http://farm6.static.flickr.com/5098/5457550364_9624dc688c.jpg

　海外の改ざんされてる一般サイトを経由して強制リダイレクトされたページからダウンロードしてきたものですが、AVG Technologies社が提供してる正規のウイルス対策ソフト「AVG Anti-Virus」を装ったインチキ詐欺ソフト「AVG Antivirus 2011」が手に入ったので手動で感染しました〜。
・ AVGの名前をかたる偽セキュリティソフトが見つかる、入手元に注意 （INTERNET Watch）
・ 偽物のAVG Anti-Virus Free Editionに、ご注意ください （AVG Japan）

　本物のロゴマークをそのまんま流用してる以外はデザインがぜんぜん別モノですが、仮に感染した人がググっても本物のAVG情報がたくさんヒットしてしまうので信じちゃうんでしょうかーね？ 例のごとく、デタラメなウイルス感染情報を示して”有償版”を買うよう激しく警告します。

　　http://farm6.static.flickr.com/5178/5457550354_d4da6dc10a.jpg

　んで、感染してみて分かったんですが、このインチキ「AVG Antivirus 2011」には、ライブチャットによるテクニカルサポート機能が用意されとるんですな。生身の人間がリアルに生チャットしてくれるインチキソフトが存在する、というお話を思い出したので、これ幸い（？）と試してみました。カスペの記事では、足し算の質問を投げかけたりしてボットによる機械返信じゃないかチェックしてます。
・ オンライン・サポート・サービス付きの偽ウイルス対策ソフト （Symantec／ITpro）
・ Technical Support - they're not always the good guys （Kaspersky Securelist Blog）

　　http://farm6.static.flickr.com/5294/5457749986_3a4656304f.jpg

　サポート担当”ミッシェル”との超短い会話でしたが、赤色のVisitorがおいら。

　最初の発言は、たまたま開いていたYahoo!ニュースにのってた日本語の見出しをそのまんまコピペしただけ。向こう側ではどのように表示されてるんか知りませんが、英語じゃないとダメだと切り返されます。おー人間みたい。

　ＡＧＶ（故意にスペルミス）に感染した〜と言ったら削除方法とやらを提示されました。「ホンマかいな!?」ということで、書いてある通りにやってみたら、あっさりと「AVG Antivirus 2011」がアンインストール（駆除）されたので、感謝の意を伝えました。

Java 6 Update 24 公開 - ウイルス強制感染被害を回避するため更新を

　米国オラクル（サン・マイクロシステムズ）が開発してる無料ソフト「Java」（JRE）のセキュリティアップデート（6 Update 24）がリリースされやした〜な。無料で更新できます。
・OracleがJavaの最新版をリリース、深刻な脆弱性に対処 （ITmedia エンタープライズ）
・Java ソフトウェアのインストール状況の確認

　「Java」を導入してたら、ウイルス強制感染被害を回避するために最新状態を維持しとかないと超危険です。おまけに、「Java」は意識して導入してなくても、パソコン購入時点で最初からインストールされてる場合も多いので、知らずに放置されてる可能性も・・・。

　あえて「Java」を新規に導入する必要はなく、不要であれば事前にパソコンからアンインストールしてしまうのも有効な対策です。

　古いバージョンのままだと、改ざん被害を受け不正なコードが埋め込まれてる一般のサイトを単に閲覧しただけで、裏で攻撃サイトに誘導され、下のようなコードが降ってきて攻撃処理が発動し、知らないうちに裏でウイルスがダウンロードされ、そのウイルスが問答無用で強制起動させられちゃう事態にっ！

　　http://farm5.static.flickr.com/4105/5450128281_f34aca7f8b_z.jpg

　　http://farm6.static.flickr.com/5016/5450113281_78a901c851_z.jpg

　　http://farm6.static.flickr.com/5171/5449471950_4b81a79151_z.jpg

★ セキュリティソフトがユーザーに代わって行ってくれないウイルス対策
・ ホームページからの感染対策 （サイバークリーンセンター）

ウイルス感染被害を回避できるWindowsパソコンのセキュリティ更新！

　2011年2月のセキュリティ関連の更新がマイクロソフトとアドビから公開されました。この更新をちゃんと適用するかどうかで、ウイルス感染被害にあうかどうかの運命を左右することになります。複数あるのでくれぐれもお忘れなく〜。更新作業はすべて無料。更新後にパソコンの再起動が必要です。

● マイクロソフト Windows Update（Microsoft Update）
　OSやIEブラウザの更新、XP/Vistaの場合はウイルス感染手段に悪用されてるUSBメモリのオートラン機能の無効化。自動更新を故意に切ってる人は注意。

● アドビ・システムズ関連
・Adobe Reader ... PDFファイルを閲覧するための無料ソフト
・Adobe Flash Player ... YouTubeなど動画サイトで映像を表示する無料プラグイン
・Adobe Shockwave Player ... もはや必要性なし。導入してる人のみ。
※ 公式サイトからダウンロードする場合、不要なソフト「McAfee Security Scan Plus」の同時インストールに注意！ 「ダウンロードに含める」のチェックマークを必ず外す！

　あと、今回の更新はないですが、下２つもウイルス感染攻撃の手段として悪用されてるので、必ず最新版になってることを確認しましょう。不要ならパソコンからアンインストール（削除）してしまうのも有効です。

● オラクル Java（JRE）
　パソコン購入時点であらかじめ導入済みの場合多し。現在狙われまくりＮｏ.１！ 現時点で「Version 6 Update 22」（1.6.0_22）以上じゃないと超ヤバイ。

● Apple QuickTime
　導入してる人のみ。単品での導入以外に、「iTunes」と同時インストールされ利用に必須。

　Yahoo!知恵袋なんかを見てみると、インチキソフトの類（偽ウイルス対策ソフト、偽PC最適化ソフト）が勝手にインストールされてしまい助けを求める投稿が続いてるようです。あと、ブログで被害報告をしてる人も見かけますが、肝心の対策について言及してるのを見たためしがないです。駆除・削除に苦労した話と、「気を付けて！」という何の役にも立たないアドバイスで終わってて・・・。

　勝手にインストールされた原因は、十中八九”ドライブバイ・ダウンロード攻撃”によるものなので、それを回避するには、下に書いてある対策をちゃんとやっておかないとどうにもならんのです。
・ ホームページからの感染対策 （サイバークリーンセンター）

---

[追記...]
・ Javaのセキュリティアップデート （2011年2月）

インチキソフト｢Antivirus Scan｣に感染してみる! 放置→ポルノサイト表示

　デタラメなウイルススキャンとウイルス感染警告を表示して、解消したかったら”正規版”を買うようそそのかすインチキな偽セキュリティソフト「Antivirus Scan」に感染してみました。クレジットカードの情報を盗むのが目的のシロモノです。

　ついでに、幾度となく出現する警告をわざと無視して放置してみたところ・・・

◆ ウイルス検体の回収場所
　日本のスポーツ施設のサイトです。運営放置されてるサイトではなく最終更新日は今月。

　　

　ページの先頭部分に不正なJavaScriptタグやらIFRAMEタグがたーくさん挿入されてしまってます。このコードによって導かれた先には、Microsoft関連、Java、QuickTime、Adobe Reader、Flash Playerなんかの脆弱性を悪用してウイルスを強制発動させようとする処理が用意されてます。（対策してあれば何なく回避可能）

　この改ざん被害を受けてるサイトは、セキュリティの脆弱性が存在する古いバージョンの派生WordPressで運用してるようなので、恐らくここから攻撃者の侵入を許したんでしょうねぇ。改ざんから数週間以上たっているようなので、Google検索では警告が表示されアクセスはブロックされるようになってます。

◆ Antivirus Scanを手動で起動
　手動で回収してきたウイルス（実行ファイル）を起動して感染状態にします。実際の感染攻撃では、裏でダウンロードされ強制発動し勝手にインストールされることになりやす。感染処理が成功すると、「Antivirus Scan」のウィンドウがいきなり出現、ウイルススキャンと大量のウイルスが存在するということをアピールするインチキ演出がスタート！

　　　

　以降、買え買えとせまる情報を無視してテキトーに放置、何分かたつと・・・警告ダイアログとともに、IEブラウザが勝手に立ち上がり海外のいかがわしいページがっ！ 閉じても閉じても一定間隔でポルノやらバイアグラのサイト表示を繰り返します。焦らせるための策略ですかいな。

　ちなみに、IEの設定がいじられて、Yahoo!とかGoogleなどにはまったくアクセスできなくなります。

＜海外のポルノサイト＞

　　　

　　　

＜バイアグラの宣伝サイト＞

　　　

ブラウザ経由のウイルス強制感染でJavaの悪用成功率がハンパない

　海外のセキュリティブログで、あるエクスプロイトキットに用意されてるアクセス解析結果というのが紹介されとります。何だかゲーム画面の一部分みたいな画像のものです。
・ Exploit Packs Run on Java Juice （Krebs on Security）

　エクスプロイトキットってのは、ブラウザ経由でウイルスを強制的に発動させるためのWebアプリケーションです。ブラックマーケットで売ってるんですが、海外サイトを探せばコピー品がタダでに入手できたりします。運用するのに特殊な技術は必要なくって、エクスプロイトキット本体と発動させるウイルス検体をサーバーにアップロードするだけで、”ウイルス散布サイト”を構築できてしまいます。

　その結果を簡単にまとめるとこんな感じ。
● 約9,700件のアクセスのうち、約3,700件でウイルス感染攻撃が成功
● 攻撃が成立した原因は、９９％の割合でJavaの脆弱性を突いたもの
　　（IEやOfficeの脆弱性の割合は１％にも満たない）
● 攻撃が成立したブラウザの種類は、IE8 − Firefox − IE7 − IE6 の順

　あと、こちらの海外サイトでも同じエクスプロイトキットの結果が紹介されてます。
・ Malvertisement Leads to Dragon Pack （Kahu Security）

　同じくまとめるとこんな感じ。
● 約3,400件のアクセスのうち、約550件でウイルス感染攻撃が成功
● 攻撃が成立した原因は、９３％の割合でJavaの脆弱性を突いたもの
　　（Adobe Readerの脆弱性の割合は６％、IEの脆弱性の割合は１％にも満たない）
● 攻撃が成立したブラウザの種類は、Firefox − IE7 − IE8 − Chrome − IE6 の順
● 攻撃が成立したWindows OSの種類は、XP合計 − Vista − ７ − XP SP2 − XP の順

　ブラウザやWindowsの種類を選ばない無料ソフト「Java」を最新版に更新しないで古いバージョンまんま放置してると、たとえば次のような法則（？）がまったく通用せんことに・・・。
○ FirefoxやChromeはIEより安全である
○ IE8はIE6より安全である

　このJava（JRE）の脆弱性は最新版ですでに修正済み。修正済みなら感染攻撃は失敗に終わります。ちゃんと更新してるかしてないかで、ウイルスやインチキ偽ソフトの感染被害にあうかどうか運命の分かれ道となりまする〜。
・ ホームページからの感染対策 （サイバークリーンセンター）