「zipで」 … 遠隔操作ウイルスの実体

「ZIPで配布」「便利ソフトの裏で動作」――遠隔操作ウイルスの実体
IPAが調査結果を公表、「基本的なウイルス対策が不可欠」

情報処理推進機構（IPA）は2012年11月1日、いわゆる「遠隔操作ウイルス」の調査結果を発表するとともに、
ウイルス対策の重要性を改めて呼びかけた。

ここでの遠隔操作ウイルスとは、他人のパソコンを乗っ取って、自由に操作できるようにするウイルスのこと。
特に、他人のパソコンから犯罪予告を行ったとされる一連の事件で使われたウイルスを指す（図1）。

IPAでは、該当のウイルスを入手。その調査結果を公表した。それによると、遠隔操作ウイルスは、ZIP形式の
圧縮ファイルとしてインターネットに置かれていたという。

同ウイルスは、有用なソフトウエアに見せかけて置かれていたとされている。今回IPAが入手したのは、「文字
置換ソフト」に見せかけたウイルス。ファイル名は「chikan.zip」。文字置換ソフトの「置換」から付けたと思われる。
このため別のソフトに見せかけたウイルスでは、ファイル名は異なると考えられる。

このファイルを展開（解凍）すると、「chikan.exe」と「data」という2つのファイルが生成される（図2）。chikan.exeが
実行されると、「iesys.exe」と「cfg.dat」を生成し、iesys.exeを実行する。

このiesys.exeが、今回話題になっている遠隔操作ウイルスの実体である。cfg.datは、遠隔操作ウイルスの設定
ファイル。ウイルスが命令を見に行く掲示板のURLなどが記述されている。

その後chikan.exeは、自分自身（chikan.exe）を削除するとともに、dataをchikan.exeに名前変更して実行する。
新たに名前がchikan.exeとなったファイルは文字置換ソフトとして機能するので、ユーザーは、ウイルスに感染
したことに気付かないという。

（後略）
http://pc.nikkeibp.co.jp/article/news/20121102/1069202/

＞chikan.zip

IPAてつこうたかよ

痴漢は犯罪ってエロゲが会った気がする

ここまで画像無し

hentai.zip
　 　 +- 001.jpg
　 　 +- 002.jpg　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 .exe
　 　 +- 003.jpg
　 　 +- ...

ここまで麻呂なし

　　　　　　　　　　＿　　＿＿＿,,,,,.....　-一ｧ
　　　　　　　　　/　　/;:;:;:;:;:;:/, -──--､,!
.　　　　　　　　/　　/;:;:;:;:;:;:／　Ｚ　だ　　,!
. 　 　 　　　　/ 　 /､;:;:;;:;:;:;i 　　Ｉ　 が 　,!
　　　　　　　/　 ,ｨ{;:;:＼;:;:/.i　　Ｐ　！　,!
.　　　　　　/　　i;/＼;:;:;X､_ヽ　で　　　,!
. 　 　 　　/　　ﾘ (ﾐ､ヾL;:__;:;:;〉　＿＿,.,!
　　　　　/　　/_,, ｀´ .:　 r=/／r―--,!
　 　 　 /　　/ ﾄｭﾐy　 　 ｀~´　 ,ノ:::::::,!
.　　　 /　　,'　｀`ラ, ,ｨｴ二丶、^ヾ　 ',!
　　　/　　　!　 ,.. /　.: 'ヾﾋi≧ｧﾐ　,}:::,!
. 　 /　　　　ﾞl,/ (;'　,rぅ､、　　　　 ,'_,!
　 /　＿_,,.ｨ'l ﾍ`ﾆ"´　ヽ　　_,.　,':::ｸ,!
. /r''",r‐'´/l'! lﾄﾐ三=ァｨ` ,:" , ,ﾙｲ,!
//:::::/　　　{i,ヽ丶-‐ '"ノ ,/,／:::::,!
ヽ､::::ヽ　　　ヾ.丶.,＿_,, -‐'"　 　,!
　　 ｀`ヽ.､_　　ゝﾐミ三ニ＝≦,,,,!
　　　　　　 ｀`ヽ.､..::::::::::::::::l::::::::,!
　　　　　　 　 　 　 ｀`ヾ､:::::::::::,!
　　　　　　　　 　 　 　 　 ｀`ヽ,!

>>6
普通はZIP画像ビューワ使ってるだろうから気付かれず起動もせずスルーされそう

iesys.exeってなんか見覚えあるんだがｗｗｗｗｗｗ
前にふとタスクマネージャ見たときにそんな名前があったようななかったような…
これヤバイ？

　　　　 ,ﾊ::｀丶､:::::::::::::::::::::::|:;:;:;:;:;:;:;:;:;:;_,, -‐:〈　
　　　　　{;;;;ヽ､:::::｀丶､:::::::::::::l:;:;:;:;:;:; ィ";:;:;:;:;:;:;:} 　許せはしない。許してはいけない。
　　　　..,l;;;;;;;;;ｼ丶､:::::::｀:`:ー'‐::'':"::::::::_, ィ"´;;l　
　　　　fうl;;;ミミ、　 ｀`丶 ､::::::::,: - ''"´　 ﾘ;;;;;;f-　 麻呂のZIPは麻呂であるための真実だ。
　　　　 l l;;;;;ｯ=`　　 (三> ｀^´ (三ｼ　　ム;;;;;;ｿl}､
　　　　　t　!;;;ﾘ　　　　r‐､r‐､　　_,,..,,_　 　 l;;;// 　償いの時は来た。
　　　　　ﾞl ヾ;l 　　r‐､!　.| 　| ,: 'ﾉ ひﾉ､　　l;//　
　　　　　..`ｰll!　　| 　i 　| 　|l:.:^''==彡'"　,!ﾘﾉ 　　麻呂が戻ってきたという事実の意味を
　　　　　　　 ll　　| 　| 　! 　!l:.:.:` '' "　　,i;;l´ 　　
　　　　　　　　li.,　| 　| 　| 　|:.ヽ､　　　 ,:,り　 　左大臣に思い出させてやる。
　　　　　　　　 t、ｲ 　i 　| 　|,r 'ﾞヽ　　/,K 　　　
　　　　　　　　／ l. 　! 　! 　!　 　 }　// /ヽ、 　もう、捏造のZIPは要らないから。
.　　　　　　ヽ　ヽ　!　 | 　|　 |一 ''"／,/,/:.:.:.:.:.:.:.:ｿ }- ､、
　　　　　/　ﾍ.　∨.　　　　　!　 ヽ　　　, -‐‐､.:／ /　　 ｀ 丶､
.　　　- {　 ヾ|　　　　　　 　 ヽ .i｀ヽ　__r‐､' .:'" ,／　　　　　　 ｀ 丶
　　 ┌───‐'＾ヽ 　 　 　 　 |　 |└､_f┘　　　 rヘ
　　 └─‐… ┐　｣ 　 　 　 　 |　 ￣￣}　　　　 <__>　　　　　　　　＿＿_, ､　◎
　　　　　　　　｜　{ ＿＿＿＿｣　 |＼_/r‐‐ '_　r‐ヘ　　　　　　　＼＿___,　　〉
　　　　　　　　｜ │}　　　 ＿/|　 | 　　｀二 ┘ }　 }　　　　　　　　　　　 /　 /
　 ┌───‐┘　| ￣￣´ 　　|　 |　 　{_ .　j　 }　 }　l⌒ll⌒l r‐ヘ　　／　,/　　┏━┃━━┃
　 └──── ､_｣　　　　　　 L.ノ　 　　　　 ／　/　￣ ￣／　/　／　／　　　┏┏┛┏━┛
　─‐Ｃ‐Ｏ‐Ｄ‐Ｅ─Ｚ‐Ｉ‐Ｐ＝─────＜__,／ ──＜__,／＜_,　- ´──‐┛━┛━━┛

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　捏 造 の マ ロ ー シ ュ

Chikan.zipでググったら、ブログか掲示板か知らんけど

「三重の男性はChikan.zipを誤ってダウンロードしました。」

とか出てきたけど、いくら何でもまさかこんな直球な名前じゃないよな…

exe踏む勇気ないってレス見かけてたがこういう事だったのか
よく仮想デスクトップで云々って見てたがね
そういうことだったのね

ウィルス対策ソフトはexeの中に定義ファイルと同じファイルが有るかどうか
一致させる検索をしてるってことでいいのかい？

ま、拾った実行ファイルをいきなりクリックはしないですからね普通

ところでIPAの有名な何とかさんっていまどうしてるの
普通に働いてるの？

ヒューリスティックで検出されないの？

じゃあrarで

>>9
なんだよそれ
どこが普通なんだよ

cfg.datって何か見覚えあるな…

>>10
何、お前の住んでいるとこの警察の捜査一課がやってきて
自白するまで帰えれないだけだから、大したことはない

麻呂AAっていつまでも新作ができるよな
もう伝統芸能の域に達しているかもしれない

>>20
ふぇぇ怖い＞＜
でも今年に入ってから怪しいソフト落とした記憶無いから大丈夫と思いたいが…
同じく見た記憶ある人は居ないんでしょうか…

>>12
新聞系のサイトで見たと思ったが、
「置換」
だからな

文字列を置き換えるソフト

　　　　∧＿∧
　　 ／ ／ ＼u＼　　　すごい熱気を感じる。今までにない何か熱い熱気を。
　彡 （●）=（●）ミ　　 熱風・・・なんだろう吹いてきてる確実に、着実に、俺たちのほうに。
　彡　u　●　　 ミ　　 犬死はやめよう、とにかく最後まで生き残ってやろうじゃん。
.彡u　＿＿＿u　ミ　 車の中には沢山の仲間がいる。決して一匹じゃない。
彡　u　　　∪　　 ミ　 信じよう。そしてともに戦おう。
　彡＿＿二＿＿ミ　 エアコン停止してるけど、絶対に死ぬなよ。

　　　　　　 　 　 　 　　l;:;:;:;:;:;:;:;:l;:;:;:;:;:;:;:;:｀丶､;:;:;:;l
　　　　　　 　 　 　 　 ,l;ｨ'----┴――--､、;:丶､!
　　　　　　　　　　　 ,ﾉ7 '"＾　　　^`'　　 ,ｨ'三ミ､_〉　　　
───‐─┬┐　　{:/, ﾆ丶　　,r,=-、　ヾ:::::::ﾐヾ
　 ___,,,...-‐''"|　|　　〃ｨ'｡｀>ｿ { ィ'｡｀'ｧ::..　 !::::::ミ:l　　　
￣7　　　　　|　|　　 l:! ｀~´/　,l、 ￣´ 　 ,. }:::::三<
　 i　　　　　 |　|. 　　ll　　 (､ っ）　　　　 : ,l::::ｼ久'l　　　
　.| 　　.|　 　|　| 　 　l　　 ,.,__､　　　　　,:' f::/ﾝ ﾉ/
　|　　　|　 　|　|　　　l ､ f{二ﾐｧ ,）　　　　{,ﾂ>-‐'′
　|　　　|　 　|　|　　　ヽヽ`ー '　: ヽ　　　,_ｿ/
　　　 　: 　　|　|　　　　丶､＿＿,　-―''"/,/
　　　　 :　 　|　|　　　　 ,} ヽﾆニ　 =彡ｼ,ンヽ,
::::::::　　　　　|　|　　　 ,/(`＝- r‐ ''"　／ ,／丶、
::::::::::　　　　 |　|　　.ノヽヽ、＿;＿_,∠..ィ"-――ｭ、
:::::::::::::::|______|__|∠三二二,,＿＿＿,,.　 -― ''"~⌒`丶､、_
￣￣￣__/.￣/　　　　　　　　/　　　　　　　　　　　　　／｀`
ニ二二i -二ﾆ---､　　　　　/　　　　　　 　 　 　 　 ／
________________ンｰ|.|　　　　　/　　　　　　　 　　　　／
　　　　　　　　￣￣￣￣￣￣　￣二=-┐　　　／

最近ブラゲーで誰かと個別チャットでやり取りした直後
突拍子にunzipが立ち上がったんだがこれはあれですかね

IPAの主任がつこうた

岡ちゃんまぴょ〜ん。

調べたら、けっこう怪しい動作しているのあるのな。
ADOBEとかRealtekので。
全部スタートアップから外して停めたら軽くなった。

岡ちゃんの嫁さんごっついわー

>>10
見た覚えがあるならMsconfigのスタートアップか、レジストリ全検索で痕跡が見つかるのでは
http://www.ipa.go.jp/security/txt/2012/11outline.html
の画像にある、MSフォルダ以下にファイルが残ってないか調べてみては

>>14
とりあえず検索をかける

新型じゃあ無駄かもしれないが…

ありゃ IDかぶったな

トロイとウィルスって区別しなくなったの

岡ちゃん

この人、チカンです