質問・雑談スレ290＠運用情報板

（１）感染してるサイトを閲覧する
（２）自分のパソコンが感染する
（３）その状態でFTPで自分のサイトを更新する
（４）その時にFTPのIDとパスを抜かれる
（５）ウイルスが勝手にHTML、ｐｈｐファイル等に
不正なジャバスクリプトを埋め込む
（６）サイトが感染状態になる。
（７）そのサイトを見た人が感染する

このようなアニサキス状態になっております

アニキサスに見えた

アニキサスは危険
あなたの体にアニキが感染します

烏賊の塩辛にアニーがうごめいてた恐怖

>>414-415
なるへそ、解析してみたらgumblarだった。
色々と考えるもんだねぇ

>>417
成程。

マルウェアを仕込まれるわけですから、
仮にうｐ手段が ftp じゃなくて ssh とか使っていても、
少なくとも＊原理的には＊だめっぽいですね。
マルウェアが key logger だったりするのかもしれないし。

で、、、。
もし仮に今回の maido3.com もこのパターンでやられたんであれば、
中身をうｐしている人＊全員＊のPCをウイルス駆除するのは当然として、
maido3.com の中の人がいじった可能性のあるサイトの、
あらゆるパスワードを変更しないと危険なような。

他のはしらんけどmaidoの方はVISTA避けてあるみたいですねぇ
おきつねさんVISTAだっけ？しかしどうやって仕込むんだろうなぁー

ああー
＞（５）ウイルスが勝手にHTML、ｐｈｐファイル等に不正なジャバスクリプトを埋め込む
これかー、なるほどなー考えてるなぁ

ジャバスクリプト切って見てたらセーフ？

こういうクラッキングって被害サイトからセキュリティ企業に報告とかいくの？
情報共有みたいなのするよね？

>>423-424
>>417 のとおりで、概ねこんなかんじのシナリオかと。

1) どっかの感染している index.html やら index.php やらを持ったサイトを、
自分のサイトのコンテンツを FTP で更新する担当の人がアクセスする

2) 担当の人の PC にトロイが侵入する

3) 2) で侵入したトロイは、担当の人が FTP で
自分のサイトにアクセスするのを待ち続ける

4) 担当の人が感染した PC から FTP で自分のサイトを更新すると、
トロイがその様子をチェックしていて、そのサイトにアクセスした
ログイン名とパスワードを盗み取る

5) トロイはしばらくすると自動的に、4) で盗んだパスワードを使って
そのサイトにアクセスし、index.html やら index.php やらをこっそり書き換えて、
そのサイトに感染コードを仕込む

5') もしうまく作ってあるトロイなら、ローカルの PC にある
自分のサイトに上げるためのファイルのローカルコピーにも、
同じ感染コードを仕込むだろう。

6) 1) に戻る

で、これだとつまり、
>>404 が正解、ってことなのかなと。

脅威レポート
見つかった脅威の合計: 123

ウイルス (説明の表示)
見つかった脅威: 123
サンプル:

脅威名: VBS.Freelink.B
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/749-n

脅威名: Bloodhound.Exploit.6
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/-14n

脅威名: VBS.Freelink.B
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/-768n

脅威名: VBS.LoveLetter.Var
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/16-n

直接リンク先: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/-749n
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/750-n

直接リンク先: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/13-n
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/3-n

脅威名: 直接リンク先は VBS.Freelink.B
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/769-n

脅威名: 直接リンク先は VBS.LoveLetter.Var
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/-15n

脅威名: 直接リンク先は VBS.Freelink.B
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/-748n

脅威名: 直接リンク先は Bloodhound.Exploit.6
場所: http://banana710.maido3.com/~domo2/ri/r.cgi/pcqa/1109609938/15-n

難読化されてるのを解読したら中身を見る限りではVISTAなら今の所だいじょぶみたい
userAgentを(u.indexOf("Win") > 0) && (u.indexOf("NT 6") < 0)で避けてる様子。
亜種が出てきたら分からんけど、maidoの奴はこれだった。

>>425
切ってたら動作しないのでだいじょぶなんじゃね？

>>427
のようですね、サイト管理者が感染すると芋ずる式と・・・おそロシヤ

ということはweb担当者が見ることが多いようなサイトが感染されたら
もっと感染拡大するのか
まあ、adobeの方の対策は入ったみたいだから自衛できるんだろうけど

これはWindows7が発売される前に在庫のVISTAを少しでも売ってしまいたい業者の陰謀だったんだよ！！！

>>431
そですね、発信先になりかねないので注意が必要だろうと

例えば2chを直接触れる人が感染したら恐ろしいんでしょうな；
でも2chのものだとツール使って変更してるのかな？直接うｐだったら変更人さんは注意した方がいいかもですねぇ

>>431
「管理者」って書きましたが、当然、それとは限らないですね。

最近は自分のブログとかを持ってて、
せっせと FTP で更新している人がかなりの人数いるわけで、
それを非常にうまく悪用した、まさに典型的なトロイの木馬かと。

>>433
FTP で自分の PC に 2ch のファイルのマスターを持っていたり、
あるいは 2ch から持ってきて、ローカルに更新してからうｐしている人は、
気をつける必要があるですね。

ちなみに私の場合は、そういう機会はないです。
bbs.cgi や read.cgi を更新する場合、
必ずサーバにログインして、サーバのマスターを直接、
更新するようにしているです。

例えば自分の PC に bbs.cgi のソースを持ってくるのとかって、
怖いというか、ありえないです。

>>435
なるへそ、流石ですなぁ

私が気になったのはメニュー関係ですね、変更人さんはhtmlを直接弄ってるのかしら？
だとしたらちょっと注意していただきたいなぁと

お？
Google Safe Browsing diagnostic page for gumblar.cn
http://google.com/safebrowsing/diagnostic?site=gumblar.cn/&hl=en
Gumblar hitting Googlers hard
http://www.daniweb.com/blogs/entry4339.html#
Large amount of cross-site scripting attacks see websites compromised - SC Magazine UK
http://www.scmagazineuk.com/Large-amount-of-cross-site-scripting-attacks-see-websites-compromised/article/136763/

menuやtableを更新されている方は、FTPでアップしている方法だと思いますよ。

まほらさんは、ここを読んでおられると思いますので、
ご注意いただけると思います。

maido3.cc の Web にあった注意内容:

【目視で確認する方法】
※Windows XP をご利用の方のみ
・sqlsodbc.chm の確認
　ウィルスに感染した場合、C:\WINDOWS\system32\sqlsodbc.chm が上書きされます。
　ご利用のパソコンの sqlsodbc.chm を確認してください。

今 Google さんに聞いてみて出てきたリンク:

sqlsodbc.chmの改変を継続的にチェックする方法: 高機能サロン管理システム★さまれぼ！★開発日記
http://excomp.cocolog-nifty.com/blog/2009/05/sqlsodbcchm-724.html