無題なブログ

Twitterからウイルスサイトへ誘導... AVG Anti-Virus Free配布サイト???

　ネタ元のYahoo!知恵袋より。

twitterで知らない外国人からのリプライについて
お世話になります。twitterで知らない外国人からＵＲＬ付のリプライをもらっていました。うっかり開いてしまいました。
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1183382506

　素のURLが掲載されていてとても危険ですが、さっそく突撃すると複数回リダイレクトされ最終的にこんなページヘ到達。無料ウイルス対策ソフトで知られるあの「AVG Anti-Virus Free」のページ!?!? でも、URLは.inなインドドメイン！

　この偽AVGページで配布されてる謎の実行ファイル「Anti-Virus2012.exe」を手動でダウンロードし、念のためウイルスチェックしてみると・・・。

http://www.virustotal.com/file/95d22113fdf319098f26fe4befe07a9fcc2fd03504561bcfb4f0328238365554/analysis/

　McAfee-GW-Edition（www.mcafee.com/japan/products/web_gateway.asp）がいちおう検知しちゃってますが、このファイルはRAR形式のパスワード付き自己解凍書庫になっていてアーカイブ内にウイルスが存在するにもかかわらず、パスワード保護の影響でセキュリティソフトのファイルスキャンでは検出できなくなってしまってます。

　　　

　「Anti-Virus2012.exe」ファイルをパソコン上で実行しパスワードの解除処理が内部で行われて初めてウイルス御大が出現するスタイルになってるんですねぇ。実際に実行後にドロップされる本体がこれ。

http://www.virustotal.com/file/a6dcf7777d49eadb1cd67256fe24742bd5fee720b4aa3f2a5ec4e63b1b8ba6d5/analysis/

　手元でこれを起動してもなぜかプログラムがすぐに終了してしまうので、マルウェア解析器に放り投げると、当然ながらAVG Anti-Virusでも何でもなく「Windows Managing System」を名乗る偽セキュリティソフトでした。マイクロソフト風バリバリのデザインが何とも・・・。

http://camas.comodo.com/cgi-bin/submit?file=a6dcf7777d49eadb1cd67256fe24742bd5fee720b4aa3f2a5ec4e63b1b8ba6d5
http://siri-urz.blogspot.com/search/label/fakepav

RLO拡張子偽装のウイルス JPEG画像ファイルに見せかける

　日本のとあるオンラインゲーム関連の掲示板に投稿されてたURL（アップローダーサイト）から入手した圧縮ファイル。ファイルを解凍してみたら中身はJPEG形式の画像ファイル・・・

　　

　・・・のように見せかけて、実際はRLO拡張子偽装が施された実行ファイル（ウイルス）です。ファイルの種類が「アプリケーション （.exe）」となっていて画像ファイルじゃないことが分かります。アイコン画像もきっちり偽装してありますな。

nicole-ray-felt-up-01Bind‮gpj.exe
www.virustotal.com/latest-report.html?resource=6fcf6352f3a0fa81e9bc75a88f419797

・ RLO拡張子偽装のワンクリウェア

JavaとAdobeを更新してないパソコンが偽セキュリティソフトに強制感染

　偽セキュリティソフト型ウイルスの強制感染の話をブログやTwitterで相変わらず見かけますね〜。ヒドイ目にあったという話や駆除方法をブログで書いてる方がいますが、肝心の感染原因について触れてない所も多くちゃんと対策できてるのか心配。中には、検出できなかったセキュリティソフトのせいにして役に立たなかったと文句を垂れてる人も・・・。

　↓の４つが完璧に更新されていれば、偽セキュリティソフト型ウイルスが強制インストールされるなんてな状況はほぼ100％起こりません。旧バージョンに存在する欠陥を悪用して強制インストールされるので、そこを塞いじゃえば完璧なわけですが、セキュリティソフトは更新作業を代わりにやってくれません。セキュリティソフトをインストールするだけでウイルス対策ができてると思い込んでる人だけ地獄を見ます。

☆ Java 6 Update 31 ← 今月２月更新
☆ Adobe Reader 10 ← 先月１月更新
☆ Adobe Flash Player 11.1.102.62 ← 今月２月更新
☆ Windows Update ← 毎月更新

　困ったことにハッキングされウイルスを撒いてる日本の一般サイトが複数あるので、そこから新鮮なウイルス検体を入手できて有り難いやら有難くないやら。偽セキュリティソフトは目に見て感染が分かるけれど、感染に気づかない情報搾取系のSpyEye/Zeusウイルスを撒いてるところも少なからずあるのでホント恐ろしや・・・。

□ Internet Security ＆ Smart Protection 2012

　　　　　　

　　　　　　

□ FakePoliceAlert／Trojan:Win32/Ransom.FL
　Yahoo!知恵袋でも感染者が駆け込んでる感じですが、”フランス警察”を名乗ってパソコンを人質にとり身代金を要求してくるウイルス。フランス語で書かれた請求画像がパソコンの画面いっぱいに表示されWindowsにロックを掛けられ何もできなくなります。↑の普通の偽セキュリティソフトが可愛く見えるぐらいの衝撃度。

　　　　

RLO拡張子偽装のワンクリウェア WMV動画ファイルに見せかける

　とあるウイルス（ワンクリウェア）配信型のワンクリック詐欺サイト。

　20歳以上＋規約同意で「はい」ボタンを押して”動画再生”ボタンを押すと、ファイルを実行するかどうか尋ねるブラウザの確認ダイアログが表示されます。一般的なワンクリック詐欺だと「〜.hta」（HTMLアプリケーション）という拡張子になってるはずですが、ここのファイルの拡張子は動画形式の「〜.wmv」（Windows Media Video）になってます。

　　　　

　ところが、これはUnicodeの制御文字（RLO）を悪用し拡張子を偽装する手法が使われてるんですねぇ。本当は「〜.hta」ファイルであるにも関わらず、見た目が「〜.wmv」ファイルになってしまってます。仕組みについては↓
・ ファイル名に細工を施されたウイルスに注意！ 見た目でパソコン利用者をだます手口 （情報処理推進機構）

拡張子偽装ファイル：
MovieID_vhbMfLHnPcNR8Un8FutZqUVnhU3i0BlQ‮vmw.EI_noisreV.hta

　実際のところ、エッチな映像見たさにウイルスを自らの意思で実行しちゃうような人は、拡張子すら目にも入らずホイホイとクリックしちゃってデスクトップ画面から料金請求ポップアップ画像がサッパリ消えない状態になってるのが現実なんでしょうけど。

スマホ版ワンクリック詐欺に不正Androidアプリ（ワンクリウェアウイルス）登場

　スマートフォン向けのワンクリック詐欺サイトにてAndroid端末向けにエッチな動画の”再生専用アプリ”という名目の不正アプリ（Android版ワンクリウェア）がついに登場したようです。今まではスマホだと、ブラウザ上に入会登録請求画面のページが単に表示されるだけでしたが・・・

http://toro.2ch.net/test/read.cgi/antispam/1324818428/51-100

51 ：オレオレ！俺だよ！名無しだよ！：2012/01/05(木) 21:03:28.62 ID:Z7IT+B7W0
相談です。 

２日ほど前、スマートフォンで 
『ゲームどぅんがぁ』 
というサイトのアダルト動画をクリックしたら、 
無料動画試聴アプリをdownloadしますか？　となり、 
アプリをdownloadした後に 
『登録しました、料金を３日以内に〜』のお決まりの画面が出てきました。 

　　　　

　配信されてる「v_timer.apk」をセキュリティソフト「BitDefender」がトロイの木馬型Android.Trojan.FakeTimer.Aとしてます。（日付はファイルのコンパイル日）

www.virustotal.com/latest-report.html?resource=537f190d3d469ad1f178024940affcb5 12月30日
www.virustotal.com/latest-report.html?resource=60b1c98fc6ca2b86fbd7c772dc08a73e 1月11日
www.virustotal.com/latest-report.html?resource=16704d51989f0802b6b0f62c0b4f5e99 1月19日

www.virustotal.com/latest-report.html?resource=44d31414a63a090e5a54670c33e0d1bc 2月7日
www.virustotal.com/latest-report.html?resource=c9c7ae465d712eb79976b34b0f76f1db 2月9日
www.virustotal.com/latest-report.html?resource=2b609e4acfebbee57ecf6ddbfd8202d2 2月14日

　中身。電話番号を取得して請求画面上に表示するみたい。

---

[13日追記...]
・ スマホを狙ったワンクリックウェアを確認。執拗に請求画面を表示し、電話番号の流出も （トレンドマイクロ）
・ 日本人を狙う、スマートフォンアプリを使ったワンクリック詐欺 （シマンテック）