偽セキュリティソフト「Security Tool」感染爆発、原因はマイクロアドの広告配信サーバへの攻撃

9月24日(金)の21時半頃から9月25日(土)0時27分にかけて
GIGAZINE・毎日jp・Impress・Slashdot・価格.com・食べログ・みんなの株式・
みんカラなど多数のサイトのページを見た一部ユーザーが
偽セキュリティソフト「Security Tool」に感染している可能性が明らかになりました。

原因はページ内に表示していたマイクロアド社の広告が原因、
この広告を配信していた多数のサイトでも同様の被害が発生していたとのことです。

GIGAZINEでは即座に原因を特定したため、マイクロアドの広告を非表示にし、
今も念のため非表示処理を続行しています。もう少し早くこちらで特定できれば
もっと早くに非表示にして被害を抑えることができたのですが、これが限界でした、
非常に申し訳ないです。

現時点までで明らかになった経緯まとめと「Security Tool」の駆除方法などは以下から。

>>2以降へ

gigazine.net　2010年09月27日 02時53分13秒
http://gigazine.net/index.php?/news/comments/20100927_security_tool/

スレ立て依頼
http://toki.2ch.net/test/read.cgi/dqnplus/1277944958/

>>1の続き

◆「Security Tool」とは何か？

「Security Tool」とは2008年頃から発生している偽セキュリティソフトで、
さまざまなソフトウェアのバグやセキュリティホールを突いて強制的にWindowsに
インストールされ、既にインストールされているセキュリティソフトを無効化、
さらに場合によってはタスクマネージャや右クリックメニュー、ネットへの接続も
無効化します。

そして「ウイルスに感染している」「多数のウイルスを検出した」というような意味の
ウインドウを表示し、「これらのウイルスを駆除するには有料版にアップデート
しなくてはならない、このフォームにクレジットカード情報を入力せよ」と促すという
悪質なマルウェアです。

実際の画面
http://gigazine.jp/img/2010/09/27/security_tool/00_fakeav_10_m.png
警告のポップアップ。日本語がヘンなのも特徴。
http://gigazine.jp/img/2010/09/27/security_tool/01_fakeav_11.png
このようなニセ検出画面を表示します
http://gigazine.jp/img/2010/09/27/security_tool/02_x2_2cb3869_m.jpg
クレジットカード情報を入力させる画面。絶対に入力してはいけません。
入力してしまった場合はクレジットカードの会社に連絡すれば対応してもらえます。
http://gigazine.jp/img/2010/09/27/security_tool/03_SecurityTool_4_m.png

◆「Security Tool」の削除方法

手動による駆除方法については以下のページに最新の手順がまとめてあります。
http://sec.sourcenext.info/support/securitytool.html

以下略　詳細はソース元へ
gigazine.net　2010年09月27日 02時53分13秒
http://gigazine.net/index.php?/news/comments/20100927_security_tool/

関連ページ
弊社サービスの改ざんに関するお詫びとご報告　株式会社マイクロアド
http://www.microad.jp/press/20100925/20100925.pdf
ADサーバー掲出タグによるセキュリティアラートと対処について - スラッシュドット・ジャパン
http://slashdot.jp/slash/article.pl?sid=10/09/24/1641224
毎日ｊｐの広告配信用外部サーバーに一時不具合 - 毎日ｊｐ(毎日新聞)
http://mainichi.jp/etc/20100925/index.html
お詫び：外部配信広告サーバーの障害について　Impress Watch
http://www.watch.impress.co.jp/headline/docs/notice/20100926_396275.html
「【重要】サイト閲覧時におけるマルウェア「Security Tool」の不正インストールについて」 - みんなの株式 | 株のSNS(みんかぶ)
http://minkabu.jp/top/news/405
【みんカラ】 【重要】外部広告サーバーによるセキュリティ上の問題発生のお知らせ
http://minkara.carview.co.jp/userid/194136/blog/19805018/
【重要】外部配信広告サーバーの障害について2010年09月27日 　株式会社カカクコム - 企業情報　カカクコムからのお知らせ
http://corporate.kakaku.com/press/topics/20100927.html

またチャイナチスか

　　　　　　　　　　　イ三三三三 ＼
　　　　　　　　 ／イニニニニ＼ヽ＼ゝ＿
　　　　　　　／イニニニニニ＼＼V/彡＼、
　　　　　　　|三ニ＞───､＼V//彡＼ヽヽ
　　　　　　　|三ニ|　　　　　　　　￣　＼＼ヽ|
　　　　　　 ﾊ三シ∠ミヽ,　　　　　　　　＼ミ l
　　　　　　｛!ﾚ/　　ﾐゝ.,_　　　 　∠三ゝ　|ミ l
　　　　　　 | ﾚ 　彡ヽ｀'ゝ　　　f=・xﾐ;　　|ミ/
　　　　　　 '┤ 　 　　　ノ　　i　｀'' 　 　　/}
　　　　　　　l　　ｰイ⌒(､　　':i 　 　　　/ /
　　　　　　　|　　　《三ヲ｀7≦　　 　　〃
　　　　　　　ﾄ、 　 斤 ￣｀''キ≧ 　　/´　　３！
　　　　　 ＜| 丶　　ヽニ--ソ'" 　 ／
　　　　　ﾉ|　＼ ＼　　　￣　 　／＼
　　　 ／　l　/ ヽ、ヽﾐ　＿彡'´.〉　 /＼
_＿／ 　　.ﾄ､ヽ　　i　　　　|　 /　　|.　　＼＿

巡回先入ってるじゃねーか…
マイクロアドを無条件でブロックする設定にしておいて良かった。

ここサイバーエージェント系じゃねえか

ユーザーマッチ型広告配信サービス事業「MicroAd（マイクロアド）」を株式会社サイバーエージェントより会社分割し、
新設会社である株式会社マイクロアドが引き継ぎました。

株主
株式会社サイバーエージェント（100%）

役員
代表取締役 ： 渡辺 健太郎
取締役 ： 瀧本 岳
取締役 ： 田中 宏幸
取締役 ： 日高 裕介
監査役 ： 前田 孝浩

http://www.microad.co.jp/corporate/

9/25昼ごろ感染した。
ウイルス対策ソフトは役に立たなかった。
次の日、駆除した。

毎日jp

もうつぶれちゃえよ、こんな会社。
被害にあった会社も、契約解除しろよ。