無題なブログ

ブックオフの公式サイトが改ざんされウイルス散布 お詫び発表後も・・・

　本を売るならブックオフの公式サイト（www.bookoff●co.jp）が改ざんされ、アクセスしてきたユーザーにウイルスを散布してしまったそうです。で、10月19日付けでお詫びの文章が発表されてたはずですが、コチラでは21日の未明時点でも不正な攻撃コードが下のような感じで挿入されてるのが確認できました。

　ググってみると、ショッピングサイト構築システム「osCommerce」の脆弱性を突いた改ざん攻撃のようです。この記事を書いてる時点でブックオフの公式サイトはメンテナンス中となっとります。

　この攻撃コードによって、サーバー位置がロシアのインドドメイン（.in）のページがブラウザ内部で強制的に読み込まれます。

http://www.bookoff●co.jp
　↓
http://＊＊＊＊.in/1319158532.php
　↓
？？？

　その先は404 not foundが返ってきてアクセスできませんでしたが、ウイルス感染手法は一般的なドライブバイ・ダウンロード攻撃だと思うので、↓のウイルス対策をあらかじめちゃんとやってあるパソコンであればウイルス感染被害は起こりません。
・ ウイルスの駆除と感染防止対策 （サイバークリーンセンター）

---

[11月1日 追記...]
　復旧後に再び改ざん、10月31日にメンテを終える。

ラジオ局 IBS 茨城放送 の公式サイトが改ざんされウイルス発信

　ラジオ局「IBS 茨城放送」の公式サイト（ｈttp://www.ibs-radio .com/）がハッキングされてるとのこと。Gogole検索では「このサイトはコンピュータに損害を与える可能性があります」というおなじみの警告がでてますな。
> hibari.2ch.net/test/read.cgi/sec/1279692828/828-

　　

　さっそく突撃しサイトのHTMLタグを覗いてみると、ページの最後尾に不正なJavaScriptコードが挿入されてるのを確認できます。２度目のアクセスだと、このコードは現れないようになってます。このコードによりブラウザ内部でルーマニア「.ro」ドメインのサイトへ強制接続されるようになってます。このルーマニアのページは正規サイト内のようで、攻撃者に乗っ取られちゃってる感じ。

http://www.ibs-radio .com/
　↓
http://www.dinsuceava .ro/icon/1/index.php （エクスプロイトキット）
　↓
http://www.dinsuceava .ro/icon/1/index.php?spl= 〜 （ウイルス）

　で、下の項目に１つでも当てはまってるWindowsパソコンは、「IBS 茨城放送」のサイトを単にブラウザで閲覧しただけでウイルスが強制的に起動し感染する恐れがあります（参考）。当てはまってなければ、１００％ウイルス感染被害にあわずに済みます。
・ Windows Update を行ってない
・ Java（JRE） が導入されていて、かつ古いバージョンのまま更新しないで放置してる
・ Adobe Flash Player を古いバージョンのまま更新しないで放置してる
・ Adobe Reader を古いバージョンのまま更新しないで放置してる

　ついでに回収してきたウイルス検体（実行ファイル）を手元で起動させて感染してみたところ、下のような英語表記の偽パソコンメンテナンスツールの強制インストールとなりました。ハードディスクに不具合があるというウソの警告情報とともに、パソコン内のファイル群が全消滅（実際には隠しファイル化）して、これを解決するための”有償版”をクレジットカードで買うよう激しく脅してきます。

　　

　　

　オンラインスキャンサイトVirusTotalに放り投げてみた結果はコチラ。このウイルスはWindowsパソコンに単に導入（感染）させるだけで報酬金が貰える仕組みをもってるものなので、セキュリティソフトに駆除されないよう頻繁に検体を差し替えてる可能性があります。当然ながら、このウイルスがもたらされる前の段階で検知できるブラウザ＆セキュリティソフトがそれなりにあるはず・・・。

www.virustotal.com/file-scan/report.html?id=d252327925582d6d223f904e70df3af759ba6b61f5ed3732b87be3676052125a-1316929774

セレブのXXXスキャンダル動画 と 偽 Flash Playerウイルス

　ハッキングされてるっぽい日本の普通の一般サイトを訪問してみたら、リダイレクトで『Top 10 Famous Celebrity ＸＸＸ Scandals』なるタイトルの動画を見れる感じのYouTube風ページへ何だか勝手に強制誘導されちゃって・・・!!

　　

　どれどれと、ブラウザの画面内をひとたびクリックすると、「Adobe Flash Player」をアップデート更新するよう促す画面がっ!?

　　

An update to your Abode Flash Player is available
Flash Player enhances your Web browsing experience
This update includes:
• Full screen, HD video playback
• Cinematic special effects that bring Web experiences to life
• Faster performance
Updating takes under a minute on broadhand; no restart is required.

　[Download Now]と[Don't Install]という２択ボタンが用意されているので、[Don't Install]ボタンを押してみるも更新しろーとダイアログが表示されループ状態。しょうがないので、ダウンロードするとこんな実行ファイル（scandsk.exe）が!!

www.virustotal.com/file-scan/report.html?id=57925b4f0bf59671394a3e52741af61743817d7418435a8e1098bfe19cde5c6f-1316428500

　私のおすすめ:
本物のFlash Playerバージョン確認ページ （www.adobe.com/jp/software/flash/about/）

三菱東京UFJ銀行のフィッシング詐欺ページへ突撃してみる

　わー、コワい。

　ドメインはポーランド（.pl）の正規サイト。ハッキングされフィッシング詐欺用ページを設置されてしまったんでしょう。ブラウザの鍵マークなし。『当行を装った不審な電子メール（件名：三菱東京UFJ銀行より大切なお知らせです）にご注意ください。』は、先日のスパイウェア（UFJ.exe、MUFG.exe、MUFG_SE.exeなど）付き偽メールの注意を促す本物のリンク。入力欄の説明が中途半端に英語表記・・・。

http://＊＊＊＊＊.pl/english/direct.mufg/login.htm

　入力情報はメールに飛ばす仕組みなのね。

・ 当行を装った不審な電子メール（件名：三菱東京UFJ銀行より大切なお知らせです）にご注意ください。 （三菱東京UFJ銀行）
・ 当行を装った不審な電子メール（件名：You Have (1) New Message !）にご注意ください。

---

[19日追記...]
　ん〜いろいろあるようで・・・。どちらも正規サイト内に設置されたフィッシング詐欺ページ。

http://＊＊＊＊＊.pl/direct.bk.mufg.jp/direct.bk.mufg.jp/index.htm
http://www.＊＊＊＊＊.com/.direct.bk.mufg.jp/index.htm

[メモ] ukgg.info jpopo.info jpck.info 日本ターゲットの広告経由ウイルス攻撃？

　この３つの不正なドメインにウイルス発動を行う攻撃サイトへ強制誘導するIFRAMEタグを確認してます。海外の一般サイトに設置されてる広告から主に日本のユーザーだけ読み込まれてしまうようになってる？？？

ukgg.info
jpopo.info
jpck.info

　下の画像が取得したHTMLデータ。赤い囲いのURLアドレスは、エクスプロイトキットが設置されている攻撃サイトで、「Windows Update」「Java」「Adobe Reader」が最新じゃないとウイルスが強制発動しうる状態になってます。青い囲いのURLアドレスが中国のアクセス解析サービス。

　んで、ググって気づいたのが、このアクセス解析サービスの統計情報が丸々オープンになってること。

http://www.51.la/report/1_main.asp?id=5287679

■ アクセス数の推移
　8月15日から統計が始まっていて、多い日はウン十万のヒット数になってます。この中からどのくらい感染攻撃が成功したかは攻撃者のみぞ知る。。。

■ アクセス国の上位
　アクセス数の80％が日本のIPアドレスとなってます。

■ 不正なドメインが呼ぶ直前の広告サーバー上位陣
　すべて海外系の広告サーバーです。それぞれのURLアドレスをチェックすると、たとえば『看護士さん必見！ 高額求人多数掲載！ ナースの求人・転職サイト』『自宅で月収１０００万円』『出た！完全在宅で儲かる仕組み』『FX徹底ガイド2011年完全版』みたいな感じの日本語バナー広告も配信されてるのを確認してます。