無題なブログ

「ホワイトリボン・ジャパン」改ざん ダイエット薬やバイアグラの大量隠しリンク

　「ホワイトリボン・ジャパン 公式サイト」（white-ribbon.org）が改ざんされてますかね。ウイルスの散布ではなく、ダイエット関連（Obesity、Weight Loss、Fat Loss、Xenical、Acomplia、Slimex）やらバイアグラ（Viagra）の販売ページに向けた隠しリンクがページ内の最後尾付近に大量挿入されちゃってます。

　リンクされてるダイエット薬の販売ページ↓。一般サイトをハッキングして自作自演の被リンクを用意し、Googleなどの検索エンジンでこの販売ページを不正に上位表示させようと企んでる形。

　　

サイト改ざんウイルス配信サイト化 『<script>aa=([].slice+'hjkbghkj').substr(2-1,4) 〜』

　
　ん〜、ここ１週間ぐらいに日本国内サイトで同じ不正な攻撃コードがページ内にバンバカ挿入され、ルートキット機能を持ったウイルスの配信サイトと化してるのを複数見かけてます。サイト管理者のパソコンがウイルス感染してFTPアカウントが抜かれたんでしょうか？ 攻撃コードが大量挿入されまくった影響でHTMLタグが崩壊し上のようにサイトが半壊れ状態になってるところも。。。

http://[一般サイト]/
　↓
http://[攻撃サイト].in/main.php?page=16d970fea71afa81 （エクスプロイトキット）
　↓
http://[攻撃サイト].in/w.php?f=75&e=2 （ウイルス）

　下の更新がちゃんとできてないと改ざんされてるサイトを単に踏んだだけでウイルスが裏で強制感染してしまう確率が激増します。ちゃんと最新版にしてあればウイルス感染が100％回避されます。
・ Windows Update
・ Java
・ Adobe Reader
・ Adobe Flash Player

　パソコン内の情報を収集しちゃう系ウイルス。

感染ウイルス解析：
www.threatexpert.com/report.aspx?md5=b0481f871acae22d7c081a523a1341da

北海道長万部町ゆるキャラ「まんべくん超サイト」 リダイレクト改ざん

　Twitterに情報がでてましたが、北海道長万部町のゆるキャラ（!?）な「まんべくん超サイト」がリダイレクト改ざんされてますか。GoogleやWikipediaのような検索エンジンや著名サイトを経由して、この「まんべくん超サイト」にアクセスすると不正なロシアドメインのサイトに強制リダイレクトされるようになってます。

http://manbe. jp/
　↓
http://＊＊＊＊＊.ru/access/index.php

　このロシアドメインのページは、ブラウザ上に偽ウイルススキャンのアニメーションを表示するところみたいですが、この記事を書いてる時点でアクセス不能だったため、配信してるウイルス検体は入手できませんでした。

日本のSpyEyeウイルス配信サイト - ネット銀行のアカウントハック

　明けましておめでとうございまーす。

　新年１発目はSpyEyeウイルスです。SpyEyeはロシア製の有償ウイルス作成キットで、そこから作成されたウイルスの名称でもあります。このウイルスに感染してしまうと、パソコンから金目になりそうな情報を引っこ抜かれます。日本国内でも去年2011年にウイルス感染パソコンからネット銀行の口座のアカウント情報が漏れて不正アクセス＆送金被害が複数発生したとのことです。官公庁や企業へのサイバー攻撃が話題になりましたが、こっちはかなーり身近な脅威です。

https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/spyeye_20110817
http://www.ipa.go.jp/security/txt/2011/09outline.html
http://internet.watch.impress.co.jp/docs/news/20111215_498996.html

　んで、↓の普通の日本国内の一般サイトはSpyEyeウイルスを絶賛配信中です。別にいやらしいアダルトサイトとかではないです。去年の12月下旬に見つけました。

　　　

　このサイトのHTMLタグを見てみると、BODYタグの直後に不正なJavaScriptコードが挿入されていて、ブラウザ内部で外部の攻撃サイトが強制的に読み込まれるようになってます。

　ブラウザ内部の誘導の流れはこんな感じ。

http://＊＊＊＊＊.sakura.ne.jp/
　↓
http://[攻撃サイト１].com/in.cgi?2 （リダイレクター）
　↓
http://[攻撃サイト２].com/ttc1/index.php?eba54a29b4fee355ce23823a65bbb549 （エクスプロイトキット）
　↓
http://[攻撃サイト２].com/ttc1/server_privileges.php?e01023d1ede4694b5f7e67e55dedd6cf=1 （SpyEyeウイルス）

　下の条件に１つでも当てはまってると、この一般サイトを単に訪問しただけで知らないうちにウイルスが強制感染してしまう確率が爆増します。当てはまってなければ、100％ゼッタイに感染しません。
・ Windows Update をしてない
・ Java（JRE） が古いバージョンのまま更新放置
・ Adobe Reader が古いバージョンのまま更新放置
・ Adobe Flash Player が古いバージョンのまま更新放置

　ちなみに、このウイルスのVirusTotalのスキャン結果はコチラ。セキュリティソフトのウイルス定義データによる検出対応は、後手後手の後追いなので過信しすぎないように。去年12月から発動するウイルス検体は数日間隔で差し替えられていて、それをセキュリティソフトがひたすら後追いしてます。

www.virustotal.com/file-scan/report.html?id=2b932dc43316317049cfe2f9fea78a13316a6966dab51e644534bc3fe44298bd-1325384677 （1日時点）
www.virustotal.com/file-scan/report.html?id=2b932dc43316317049cfe2f9fea78a13316a6966dab51e644534bc3fe44298bd-1325468057 （同じ検体の2日時点）

　どういう感染挙動を行うのかは、ウイルス検出名で調べると説明が用意されてるマイクロソフト。「偽セキュリティソフト」みたいに目に見えて騒ぐこともなく、任務を遂行するためひっそりと活動するので、いざ感染してもサッパリ気づかないのが怖いところ。

www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Trojan%3AWin32%2FEyeStye.N

・ 感染後にセキュリティソフトから検出できなくなるよう自分自身を隠ぺいするルートキット機能
・ ネット銀行を訪問して入力されたログイン情報のデータを搾取して送信
・ Facebookのような人気サイトのパスワードの搾取、キーボードの入力情報を記録するキーロガー機能で情報を送信　
・ 自分自身をアップデートするためのダウンロード機能

Javaを10月にリリースされた最新版「6 Update 29」にしておかないとヤバイ

　別に有名なとこではないですが、だいぶ前から同一攻撃者にハッキングされたまんま完全放置状態の一般サイトを見てたら、12月3日深夜に新しいインラインフレームタグ<iframe>がページ内に挿入されました。

　　

　　

　ここで指定されてる.infoドメインは一般サイトを訪問しただけで強制的に読み込まされますが、手動でアクセスしてみると、.inドメインのページへそのままリダイレクトして、↓ほんの１行分のコードが降ってきました。単純に１つのJavaアプレット用ファイル（JARファイル）を読み込むだけの処理です。

　このJARファイルを手動でダウンロードしてきて、いったい何するファイルなのか知るためオンラインスキャンサイトVirusTotalに放り投げてみました。するってーと、検出名に「CVE-2011-3544」の文字が！

www.virustotal.com/file-scan/report.html?id=f4d1cf5dd17fc94a2b62ef81e517a3f14b42f810066724429fd733d46e01bbd3-1322953310

　これは2011年10月にリリースされたJavaの定例更新「Version 6 Update 29」にて修正されたばかりの脆弱性です。Javaをちゃんと最新版に更新しておかないとヤバイヤバイ・・・。Javaはパソコンを購入した段階で最初からインストール済みの場合も多いので注意！
・ 修正されたばかりのJREの脆弱性を突く実証コード公開 （セキュリティ通信）
・ Oracle Java SE JDKおよびJREのRhinoスクリプトエンジンの脆弱性（CVE-2011-3544）に関する検証レポート （NTTデータ先端技術株式会社）
・ 導入されてるJavaのバージョン確認ページ （オラクル）

http://(会社サイト).jp/
http://(個人サイト).web.fc2.com/
　↓ ブラウザ内部で強制的に読み込まれる
http://＊＊＊＊.info/
　↓ 強制リダイレクト
http://◆◆◆◆.in/?site=15
http://◆◆◆◆.in/?e77d4a303cfeb5a8f253e280c62fdafe （JavaのJARファイル）
　↓
ウイルス実行ファイルの強制発動!?

　私のおすすめ:
バージョンチェックツールでウイルス対策♪

---

[追記...]
・ Java SE を対象とした既知の脆弱性を狙う攻撃に関する注意喚起 （JPCERT コーディネーションセンター）
・ Javaの既知の脆弱性(CVE-2011-3544)を悪用する攻撃を確認 （IBM Tokyo SOC）