質問・雑談スレ290＠運用情報板

417 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 20:23:09 ID:bxw/Zy770

（１）感染してるサイトを閲覧する
（２）自分のパソコンが感染する
（３）その状態でFTPで自分のサイトを更新する
（４）その時にFTPのIDとパスを抜かれる
（５）ウイルスが勝手にHTML、ｐｈｐファイル等に
不正なジャバスクリプトを埋め込む
（６）サイトが感染状態になる。
（７）そのサイトを見た人が感染する

このようなアニサキス状態になっております

418 ：働け働けニトニト●ちゃんねる：2009/05/14(木) 20:33:01 ID:smRv385ZP

アニキサスに見えた

419 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 20:44:24 ID:bxw/Zy770

アニキサスは危険
あなたの体にアニキが感染します

420 ：あひるちゃん ◆z0WvbsWRgg ：2009/05/14(木) 20:59:40 ID:wkUd4Ate0

烏賊の塩辛にアニーがうごめいてた恐怖

421 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 20:59:53 ID:M3Wj7Hta0 BE:33063124-PLT(80113)

>>414-415
なるへそ、解析してみたらgumblarだった。
色々と考えるもんだねぇ

422 ：root▲▲ ★：2009/05/14(木) 21:19:56 ID:???0 BE:2553874-DIA(102226)

>>417
成程。

マルウェアを仕込まれるわけですから、
仮にうｐ手段が ftp じゃなくて ssh とか使っていても、
少なくとも＊原理的には＊だめっぽいですね。
マルウェアが key logger だったりするのかもしれないし。

で、、、。
もし仮に今回の maido3.com もこのパターンでやられたんであれば、
中身をうｐしている人＊全員＊のPCをウイルス駆除するのは当然として、
maido3.com の中の人がいじった可能性のあるサイトの、
あらゆるパスワードを変更しないと危険なような。

423 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:24:33 ID:M3Wj7Hta0 BE:57859272-PLT(80113)

他のはしらんけどmaidoの方はVISTA避けてあるみたいですねぇ
おきつねさんVISTAだっけ？しかしどうやって仕込むんだろうなぁー

424 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:26:23 ID:M3Wj7Hta0 BE:260367179-PLT(80113)

ああー
＞（５）ウイルスが勝手にHTML、ｐｈｐファイル等に不正なジャバスクリプトを埋め込む
これかー、なるほどなー考えてるなぁ

425 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:33:16 ID:xyLSFQR40

ジャバスクリプト切って見てたらセーフ？

426 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:34:06 ID:cpS5OZck0

こういうクラッキングって被害サイトからセキュリティ企業に報告とかいくの？
情報共有みたいなのするよね？

427 ：root▲▲ ★：2009/05/14(木) 21:35:52 ID:???0 BE:5837388-DIA(102226)

>>423-424
>>417 のとおりで、概ねこんなかんじのシナリオかと。

1) どっかの感染している index.html やら index.php やらを持ったサイトを、
自分のサイトのコンテンツを FTP で更新する担当の人がアクセスする

2) 担当の人の PC にトロイが侵入する

3) 2) で侵入したトロイは、担当の人が FTP で
自分のサイトにアクセスするのを待ち続ける

4) 担当の人が感染した PC から FTP で自分のサイトを更新すると、
トロイがその様子をチェックしていて、そのサイトにアクセスした
ログイン名とパスワードを盗み取る

5) トロイはしばらくすると自動的に、4) で盗んだパスワードを使って
そのサイトにアクセスし、index.html やら index.php やらをこっそり書き換えて、
そのサイトに感染コードを仕込む

5') もしうまく作ってあるトロイなら、ローカルの PC にある
自分のサイトに上げるためのファイルのローカルコピーにも、
同じ感染コードを仕込むだろう。

6) 1) に戻る

428 ：root▲▲ ★：2009/05/14(木) 21:36:59 ID:???0 BE:1824454-DIA(102226)

で、これだとつまり、
>>404 が正解、ってことなのかなと。

429 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:39:13 ID:gysa5PqM0

430 ：動け動けウゴウゴ２ちゃんねる：2009/05/14(木) 21:39:47 ID:M3Wj7Hta0 BE:123984465-PLT(80113)

難読化されてるのを解読したら中身を見る限りではVISTAなら今の所だいじょぶみたい
userAgentを(u.indexOf("Win") > 0) && (u.indexOf("NT 6") < 0)で避けてる様子。
亜種が出てきたら分からんけど、maidoの奴はこれだった。

>>425
切ってたら動作しないのでだいじょぶなんじゃね？

>>427
のようですね、サイト管理者が感染すると芋ずる式と・・・おそロシヤ