【Gumblar/GENO】Web改竄ウイルス総合スレ5【8080】

【Gumblar/GENO】Web改竄ウイルス総合スレ5【8080】 at SEC

1:名無しさん＠お腹いっぱい。
10/02/06 01:29:29
改ざんされたWebページを経由して感染するウイルスの情報・対策スレです

ウイルス情報・対策方法・脆弱性情報などをお願いします
一部のウイルス被害が増加して混乱するようなら別スレを立てて誘導してください

現時点でGumblar(GENO)、8080(『/*LGPL*/』『/*GNU GPL*/』『/*CODE1*/』)
JustExploitなどのインジェクションが流行しています
基本的な対策としてセキュリティ・アップデートを欠かさないようにしましょう

＊＊＊危険と思われるサイトのアドレスはそのまま貼らないで「.」を「●」に変えてください＊＊＊
＊＊＊感染した場合はクリーンインストールと安全なPCからのパスワードの変更を推奨します＊＊＊

【前スレ】
【Gumblar/GENO】Web改竄ウイルス総合スレ3【8080】実質4スレ目
ｽﾚﾘﾝｸ(sec板)
【関連スレ】
GENOウイルススレ　★23
ｽﾚﾘﾝｸ(sec板)

2:名無しさん＠お腹いっぱい。
10/02/06 01:30:52
GENO（Gumblar）ウイルス対処法。

行っておくべき事項を箇条書きにしました。
細かなことは他にもいろいろありますが、とりあえず以下を実施して下さい。

(1）Microsoft Update（Windows Update）を実行しシステムを最新の状態にする
(2）Adobe Readerを最新版に更新する
(3) Adobe ReaderのAcrobat JavaScriptを無効に設定
(4) JRE(Java Runtime Environment)を最新版に更新する
(5) Flash Playerを最新版に更新する
(6) QuickTimeを最新版に更新する

(1)～(4)を行っていれば、現時点で改ざんサイトを閲覧してもウイルスには感染しない。
攻撃コードは変化する可能性もあるので、念のため全て行っていただきたい。
Adobe Readerなどのアップデート方法については下記のトピックスを参照のこと。
Acrobat JavaScriptを無効にする方法は以下の通り。

(1）Adobe Readerを起動し[編集]メニューの[環境設定]を選択
(2）「分類」の中の「JavaScript」を選択
(3）「Acrobat JavaScriptを使用」のチェックをクリア
(4）「OK」ボタンを押す

※サイトを運営されている方は、さらに次のことも実施していただきたい。

(1）管理サイトのページなどに意味不明な文字列が埋め込まれていないか確認する
(2）改ざんされていたり、サイト管理に使うパソコンからウイルスが見つかった場合には、
ウイルスに感染していないパソコンを使用して管理サイトのパスワードを変更する

3:名無しさん＠お腹いっぱい。
10/02/06 01:32:52
【脆弱性を利用されやすいソフトウェア】
下記については必ずアップデートしてください
使用していないものはアンインストール推奨です

■ Windows Update / Microsoft Updateを更新
・XP以下は念のためMicrosoft Updateに変更してアップデートする
■ Adobe Reader(Acrobat,Acrobat Reader)を更新 (使っていないならアンインストール)
URLﾘﾝｸ(get.adobe.com)
・インストール後本体をアップデート
　ヘルプ → アップデートの有無をチェック
・Acrobat Javascriptをオフにする
　編集 → 環境設定 → Javascript → 「Acrobat Javascriptを使用」のチェックを外す
■ Adobe Flash Playerを更新 (動画サイト見てるなら絶対入ってる。IE版、Firefox等の非IE版に注意！)
URLﾘﾝｸ(get.adobe.com)
URLﾘﾝｸ(www.adobe.com)
・Flash Playerのバージョン確認
URLﾘﾝｸ(www.adobe.com)
URLﾘﾝｸ(www.adobe.com)
■ Adobe Shockwave Playerを更新 (最近は使わないはずなのでアンインストール)
URLﾘﾝｸ(www.adobe.com)
■ Java Runtime Environmentを更新 (Javascriptとは違うので注意)
URLﾘﾝｸ(www.java.com)
・Javaのバージョン確認
URLﾘﾝｸ(www.java.com)
■ QuickTimeを更新 (メールアドレスの入力は不要。使っていないならアンインストール)
URLﾘﾝｸ(www.apple.com)
■ RealPlayerを更新 (使っていないならアンインストール)
URLﾘﾝｸ(jp.real.com)

4:名無しさん＠お腹いっぱい。
10/02/06 01:41:29
【Gumblar】混ぜるな危険【8080系】

■Gumblar(たぶん消滅済)
2009/4～6に猛威を振るったやつ。
GENOの対応の悪さが「GENOウイルス」という言葉を生み出した。

■Gumblar.x (祝・復活)
2009/10～12に出現。
挿入するコードが Gumblarのそれと同じだった為、
Gumblarの進化型(亜種？)と言われている。
※今後の動向には注意が必要。

■8080系(GNU GPL、CODE1、LGPL、Exception、DEBUG、.ru:X)
Gumblar.x が消滅した直後に出現し、今現在も猛威を振るっている。
※セキュリティソフト依存の防御は非常に危険。

【感染確認方法】
msconfigでスタートアップにsiszyd32.exeとTMD.tmpがあったらご愁傷様(感染確定)

削除はネットワークから切り離して、セーフモードで起動させ
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"sysgif32"="C:\\WINDOWS\\TEMP\\~TMD.tmp"
削除
※sysgif32で検索
↓
○　C:\Documents and Settings\ユーザー名\スタートメニュー\プログラム\スタートアップ\siszyd32.exe
ファイルを削除

5:名無しさん＠お腹いっぱい。
10/02/06 01:42:45
【Gumblar.x / Daonol(新GENO)ウイルスについて】
■ Gumblar被害拡大中(1)(2)(3)
URLﾘﾝｸ(www.so-net.ne.jp)
URLﾘﾝｸ(www.so-net.ne.jp)
URLﾘﾝｸ(www.so-net.ne.jp)
■ Windowsが起動しないときの復旧方法の一例
黒い画面にマウスカーソル (Win32/Daonol)
URLﾘﾝｸ(blogs.technet.com)
Win32/Daonolの亜種に感染！セーフモードでも起動できないパソコンを復旧するには？
URLﾘﾝｸ(itpro.nikkeibp.co.jp)
レジストリの修復 Windowsを使わずに修復してみる
URLﾘﾝｸ(pctrouble.lessismore.cc)
■ 感染確認・駆除ツール
アンラボ(v3daonol.exe)
URLﾘﾝｸ(www.ahnlab.co.jp)
マカフィー(stinger.exe)
URLﾘﾝｸ(www.mcafee.com)
Kaspersky(KatesKiller.exe)
URLﾘﾝｸ(support.kaspersky.com)

【旧Gumblar(GENO)ウイルスのまとめなど】
＊＊＊【注意！】2009年10月からのGumblar.x / Daonol(新GENO)には無効な情報があります＊＊＊
■ Anubisレポート
URLﾘﾝｸ(anubis.iseclab.org)
■ GENOウイルスまとめ
URLﾘﾝｸ(www29.atwiki.jp)

6:名無しさん＠お腹いっぱい。
10/02/06 01:44:04
【8080系ウイルスについて】
メディアなどでは「ガンブラー(の亜種)」と紹介されていますが
Gumblar系とは別種のウイルスで、最近のものはページソースの最後あたりに
<script>/*LGPL*/
<script>/*GNU GPL*/
<script>/*CODE1*/
などから始まる難読化したスクリプトが埋め込まれています
2009年12月現在、最新版のAdobe Readerおよびそれ以前の脆弱性を利用しているため
回避策としてAcrobat Javascriptのチェックを外してください
修正版の配布は2010年1月13日の予定です
他にもMicrosoftとJRE(Java Runtime Environment)の脆弱性を
利用していますがこちらはアップデートで対処できます
感染すると他のウイルスなどを呼び込むため非常に危険です
■ 新手の正規サイト改ざんでAdobe Readerのゼロデイ攻撃～今すぐ対策を
URLﾘﾝｸ(www.so-net.ne.jp)
■ 感染確認(2000,XP)
あくまで現時点での確認方法であることに注意してください

セーフモードから起動してレジストリエディタでRunエントリ
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
から
"sysgif32"="C:\\WINDOWS\\TEMP\\~TMD.tmp"
"~TM6.tmp"="C:\\WINDOWS\\TEMP\\~TM6.tmp"
等の登録があれば感染済

上記の登録情報を削除した上で
○　C:\Documents and Settings\ユーザー名\スタートメニュー\プログラム\スタートアップ\siszyd32.exe
のファイルを削除すれば復旧しますが、亜種等で違うこともあるので
可能な限りクリーンインストール＆サイト持ちは
安全なPCからのパスワードの変更を推奨します

7:名無しさん＠お腹いっぱい。
10/02/06 01:46:42
【改ざんサイトの調査など】
■ チェッカーサイト
・Gumblar Checker 2
URLﾘﾝｸ(gumblarchecker.crz.jp)
・aguse
URLﾘﾝｸ(www.aguse.net)
・飛び先のチェック by ぴょん基地の友達
URLﾘﾝｸ(www.kakiko.com)
・WebGetter
URLﾘﾝｸ(rd.or.tp)
・Dan's View Source
URLﾘﾝｸ(www.dan.co.uk)
■ 専ブラで右クリからの検索を有効にする方法。
設定例：JaneView

設定＞基本＞機能＞コマンド欄で
コマンド名　任意の名前
実行するコマンドに　任意のURL
を記載して追加。終わったら「よろし」をクリック。
これで設定完了。
URLﾘﾝｸ(www.geocities.jp)

これで専ブラから検索でチェックできるようになります。

以下がそのコマンドの一例になります。
aguse.net サイト情報検索=URLﾘﾝｸ(www.aguse.net)
飛び先のチェック=URLﾘﾝｸ(www.kakiko.com)
WebGetterでソースを見る=URLﾘﾝｸ(rd.or.tp)
WebGetterでタグを除去してソースを見る=URLﾘﾝｸ(rd.or.tp)
WebGetterでリンクを抽出する=URLﾘﾝｸ(rd.or.tp)
Dan's View Sourcelでソースを見る=URLﾘﾝｸ(www.dan.co.uk)

8:名無しさん＠お腹いっぱい。
10/02/06 01:48:44
危険ポートを閉じることでセキュリティを強化する。
※【ルータ】未導入の人用です。

【ポート135の役割】
Windows2000/XPは、標準で分散オブジェクト技術(以下：DCOM)を利用しています。
このDCOMを利用すると、他のPCのDCOMソフトを遠隔操作できます。
遠隔操作をする場合に、相手PCに問い合わせをする時のに使用するのがポート135です。
場合によっては、遠隔操作をされてしまう可能性があるものですので、このポートは停止しておきましょう。

ポート番号「135」、「リモート管理・操作等のサービスへのアクセス」
■ポート135を閉じる
「コントロールパネル」 -> 「管理ツール」 -> 「サービス」 -> 「Remote Procedure Call」を選択する。
「Remote Procedure Call (RPC) エンドポイントマッパーや各種の RPC サービスを提供します。」
をダブルクリックし、プロパティを開く。
スタートアップの種類を「無効」にし、OKボタンをクリックしプロパティ画面を閉じる。
変更をしたらPCを再起動する。

ポート番号「445」、「ファイル共有等のサービスへのアクセス」
■ポート445を閉じる
「コントロールパネル」 ->「システム」 ->「ハードウェア」 ->「デバイスマネージャ」の「表示」メニューから
「非表示のデバイスドライバの表示」を選ぶと「プラグアンドプレイではないドライバ」という項目が一覧に加わる。
このツリーを展開して「NetBIOS over TCP/IP」のプロパティを開く。
ここで「ドライバ」タグを選択し、「スタートアップ」の種類を「無効」にする。
変更をしたらPCを再起動する。

ポート135 445
URLﾘﾝｸ(www.google.com)

9:名無しさん＠お腹いっぱい。
10/02/06 01:55:19
(1）Microsoft Update（Windows Update）が不要なものを使う
(2）Adobe Readerは使わないか
(3) Adobe ReaderのAcrobat JavaScriptを無効に設定
(4) JRE(Java Runtime Environment)を削除
(5) Flash Playerを7以降にしない
(6) QuickTimeを最新版に更新する

10:名無しさん＠お腹いっぱい。
10/02/06 07:09:49
　　　／: : : : : : : : :.＼～　 |:::::::/￣￣￣　　　　　　　　￣￣￣|:::::::|　~　／,.　― ､, -―- ､
　　/: : : : : : : : : : : : : ＼~　|＝ﾛ　　 -=・=-　　　　　-=・=-　　ﾛ＝|　.／／.: : : : : : : : : : : :.＼
　/: : : :|: : : : : : : : : : : : :＼|::::::|　　　　　　　ﾉ　　　　　　　　　 |:::::::|／...: : : : :／＼＼: : : : : : :ヽ
. |: : : : ＠ヽ-------‐‐'′.＼::|＊∵∴　　（● ●）　 ∴∴＊|:::／/: : : : : :/　　　　ヾ.＼: : : : : :' ,
.|: : : :/　　　　　　　　　　　 .＼ ∵∴＼＿＿l_l＿＿／∵∴ |／　 {: : : ///-‐'　　`ー-ヾ.＼: : : : :',
|: : : /￣￣￣￣ヽ===/￣￣￣＼　　　＼＿＿__／　　　 .／　　　ヾ::/ /⌒ヽ.＿/⌒`ヽ＿_,ﾍ: : : ;|
| : =ﾛ　 -=・=-　 |,　┏━━━━━━━━━━━┓＿ﾉ　　　 Y¨ヾ!
| : :/ヽ　　　　　　/ﾉ .┃　　　　　ノートンファイター売り場に参上！　　　　　　┃､　　　　　 }}５ﾘ
| :/　｀──　 /.　┃　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　┃ ｀　　　 }ゞ'ｭ
| ﾉ　　　　　 .（●_┃　URLﾘﾝｸ(www.youtube.com)　 ┃　　　　 lﾍ:::ｭ
|:|　　　　　　　　　　l┗━━━━━━━━━━━┛　　　　ﾉ　ヾ
|:|　　　　　　__--￣｀´￣--__　／::,/ﾉ;ノ);;);;／~);;;ﾊ;ﾉ;;ﾉ;;人:＼　rﾃ _ゝ､　　　ｰ　　　　　イ
|:|　　　　　　　 -二二二二- .／::::::l | ,=・=　ﾝｰ―-ｔ=・=､j l:::::ヽ＼　　　｀` ‐ ｀ー一'¨´ﾌ´
|.:＼　　　　　　　　　　　／;::::::::j　`ー-ノ ● ● ヽ一' 　 |::::::::ヽ＼ｰ-　..,,　＿＼　／　＿＿,､-'´
､: : :＼　　　　 _-￣￣￣／/:::::r'rﾉ　　　　　　Ｕ　　　　　　｀`‐､::::ヽ＼　　　＼三三三／
..|Ξ|~ ＼　　　　　　　／ /::::::ﾚ' 　　　ﾞY⌒'ー─'⌒Y　　　　　 i::::::ヽ＼　　　;ゞ○;=く
/: : :ヽ／|＼＿＿__.／　ﾉ::::::/　　　　　　l　､＿__,,ノ │　　　　　l:::::::::｝~　＼／三∧三:＼
|: : : : |　　＼　　／　　 l::::::l　　　　　ﾉゝ､＿_＿_,,ハ　　　　l:::::::::l　　~　＼／　＼三ヽ

11:名無しさん＠お腹いっぱい。
10/02/06 07:12:01
　　　／: : : : : : : : :.＼～　 |:::::::/￣￣￣　　　　　　　　￣￣￣|:::::::|　~　／,.　― ､, -―- ､
　　/: : : : : : : : : : : : : ＼~　|＝ﾛ　　 -=・=-　　　　　-=・=-　　ﾛ＝|　.／／.: : : : : : : : : : : :.＼
　/: : : :|: : : : : : : : : : : : :＼|::::::|　　　　　　　ﾉ　　　　　　　　　 |:::::::|／...: : : : :／＼＼: : : : : : :ヽ
. |: : : : ＠ヽ-------‐‐'′.＼::|＊∵∴　　（● ●）　 ∴∴＊|:::／/: : : : : :/　　　　ヾ.＼: : : : : :' ,
.|: : : :/　　　　　　　　　　　 .＼ ∵∴＼＿＿l_l＿＿／∵∴ |／　 {: : : ///-‐'　　`ー-ヾ.＼: : : : :',
|: : : /￣￣￣￣ヽ===/￣￣￣＼　　　＼＿＿__／　　　 .／　　　ヾ::/ /⌒ヽ.＿/⌒`ヽ＿_,ﾍ: : : ;|
| : =ﾛ　 -=・=-　 |,　┏━━━━━━━━━━━┓＿ﾉ　　　 Y¨ヾ!
| : :/ヽ　　　　　　/ﾉ .┃　　　　　ノートンファイター　大勝利！！！　　　　　　┃､　　　　　 }}５ﾘ
| :/　｀──　 /.　┃　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　┃ ｀　　　 }ゞ'ｭ
| ﾉ　　　　　 .（●_┃　URLﾘﾝｸ(www.youtube.com)　 ┃　　　　 lﾍ:::ｭ
|:|　　　　　　　　　　l┗━━━━━━━━━━━┛　　　　ﾉ　ヾ
|:|　　　　　　__--￣｀´￣--__　／::,/ﾉ;ノ);;);;／~);;;ﾊ;ﾉ;;ﾉ;;人:＼　rﾃ _ゝ､　　　ｰ　　　　　イ
|:|　　　　　　　 -二二二二- .／::::::l | ,=・=　ﾝｰ―-ｔ=・=､j l:::::ヽ＼　　　｀` ‐ ｀ー一'¨´ﾌ´
|.:＼　　　　　　　　　　　／;::::::::j　`ー-ノ ● ● ヽ一' 　 |::::::::ヽ＼ｰ-　..,,　＿＼　／　＿＿,､-'´
､: : :＼　　　　 _-￣￣￣／/:::::r'rﾉ　　　　　　Ｕ　　　　　　｀`‐､::::ヽ＼　　　＼三三三／
..|Ξ|~ ＼　　　　　　　／ /::::::ﾚ' 　　　ﾞY⌒'ー─'⌒Y　　　　　 i::::::ヽ＼　　　;ゞ○;=く
/: : :ヽ／|＼＿＿__.／　ﾉ::::::/　　　　　　l　､＿__,,ノ │　　　　　l:::::::::｝~　＼／三∧三:＼
|: : : : |　　＼　　／　　 l::::::l　　　　　ﾉゝ､＿_＿_,,ハ　　　　l:::::::::l　　~　＼／　＼三ヽ

12:名無しさん＠お腹いっぱい。
10/02/06 07:14:19

　　　　　　　　_＿＿＿____
　　　　　　　／:.'｀::::＼／:::::＼
　　　　　／:: 　　　　　　　＼
　　　　　/::. 　／"""　　"""＼ヽ
　　　　　|::〉　　●"　　　 ●"　｜
　　　(⌒ヽ　　　　　　　　　　　｜）
　　　 ( __　　　　　（ ∩∩ ）　　 |　　　がしゃーん
　　　　　｜　　､＿＿_＿＿　　/
　　　　　　ヽ　　　＼＿___/　　/
　　　　　　　＼　　　　　　　 /
　　　　　　　　＼＿＿＿_／
　　　　　　／│　　亀　　│＼　　　　　　　　　がしゃーん
　　　　　＜　　＼＿＿__／　　＞
　　　　　　　　　┃　　　┃
　　　　　　　　　＝　　　＝
亀田ロボや
荒らしが出たら自動でしばくで

13:名無しさん＠お腹いっぱい。
10/02/06 08:55:50
RealとかJaveとかQuickTimeは本件とは関係ない

14:名無しさん＠お腹いっぱい。
10/02/06 08:58:57

■亜種が多いので油断大敵ですね。
URLﾘﾝｸ(www.virustotal.com)

対応済み：AntiVir・AVG・F-Secure・K7AntiVirus・McAfee・Panda・Symantec 他
未対応：Avast・BitDefender・GData・Kaspersky・Microsoft・NOD32・TrendMicro 他

15:名無しさん＠お腹いっぱい。
10/02/06 10:26:06
>>14
Kenzeroは板違い
ダウソでやれ

16:名無しさん＠お腹いっぱい。
10/02/06 10:46:10

■亜種が多いので油断大敵ですね。
URLﾘﾝｸ(www.virscan.org)
対応済み：AntiVir・Avast・AVG・BitDefender・F-Secure・GData・Kaspersky・McAfee・Microsoft・Panda・TrendMicro 他
未対応：Authentium・Comodo・Dr.Web・Fortinet・JiangMin・KingSoft・Norman・Rising・Symantec・ViRobot 他

17:名無しさん＠お腹いっぱい。
10/02/06 12:17:12
チェッカー追加で
URLﾘﾝｸ(ec2-204-236-148-61.us-west-1.compute.amazonaws.com)

18:名無しさん＠お腹いっぱい。
10/02/06 22:34:32
①<丶｀∀´> セキュリティサービスのアンラボ<｀∀´＃>

ニュースリリース　2010-01-12
URLﾘﾝｸ(www.ahnlab.co.jp)

ホームページにウイルスが埋め込まれる脅威に対するアンラボの取り組みについて

韓国トップシェアのセキュリティベンダー AhnLab, Inc.（韓国ソウル市）の日本法人である株式会社
アンラボ (東京都千代田区) は、昨今日本でも被害が急増しているホームページにウイルス
(Gumblar その他）が埋め込まれるタイプの脅威に対し、韓国での取り組みと被害状況などを発表します。

韓国インターネット振興院※1 （KISA：Korea Information Security Agency）の発表によると、現在、
韓国でのウイルス感染経路はインターネット経由が中心であり、企業で85%、個人ユーザーの88%の
感染がインターネットからダウンロードしたファイルによるものであることがわかりました (※2)。すべての
年齢層と性別に関わらず同様の数値を示しており、いまやインターネットの利用はすべてのパソコン
ユーザーにとって大きなリスクになっています。

また、アンラボの統計から、危険なホームページの割合は、SNSやオンラインコミュニティが27%、
オンラインショッピングモールが26%、ブログ・個人ホームページ21%、パソコン・IT情報4%、ポータル・
検索サイト4%、その他18%となっています。2009年の1年間でウイルスが埋め込まれたホームページの
数は、韓国で発見されただけでも 338,970 サイトあり、去年7月の統計では、1ヶ月間に配布された
ウイルスが 827 種類、危険なサイトを閲覧したユーザー数は50万名以上にのぼったことがわかっています。

19:名無しさん＠お腹いっぱい。
10/02/07 00:20:55
celeb-deaeru●com
bihada5●nes3●com
ggpurasu●com/PS2
gu-zu●com
kyoshin-jp●com
www●custom-mode●com
more-more●net

20:名無しさん＠お腹いっぱい。
10/02/07 01:08:33
バンダイのプラモデル

21:名無しさん＠お腹いっぱい。
10/02/07 02:30:13
>>14 何故2ヶ月前の結果？
>未対応：Avast・BitDefender・GData・Kaspersky・Microsoft・NOD32・TrendMicro
は、2010.01.22の時点で検出する
URLﾘﾝｸ(www.virustotal.com)

22:名無しさん＠お腹いっぱい。
10/02/07 02:40:59
というか、Kenzeroに引っかかる奴って理解できんわ。
セットアップを起動させてしまうのはともかく、登録フォームが出てきたら普通そこで止めるだろ。

23:名無しさん＠お腹いっぱい。
10/02/07 05:27:43
★★★警告！　試すな危険★★★

>>8の2件は【ルータ】未導入の人用です。
前スレで、安易に手を出した初心者によるトラブルが続出しています。

（どうしても試したい人のための、症状例と救済レジストリ操作等）★保障なし★
URLﾘﾝｸ(blog.goo.ne.jp)
URLﾘﾝｸ(soudan1.biglobe.ne.jp)
URLﾘﾝｸ(weblabo.griffonworks.net)

24:名無しさん＠お腹いっぱい。
10/02/07 09:47:21
>>8は廃止にするんじゃなかったっけ

25:名無しさん＠お腹いっぱい。
10/02/07 11:23:05
このスレをたてたのが早漏だから取捨選択もできなかったんだよ

26:名無しさん＠お腹いっぱい。
10/02/07 15:38:57
軽く感染実験・・
環境は、WinXP+SP2(IE6SP2)
設定は初期値
WindowsUpdateは優先度の高い更新を全部入れた。
セキュリティソフトはウイルスバスターCorp8.0SP1　パターン6.829（最新）
インターネット接続は、IIJモバイル
>>19の
>www●custom-mode●com
につないでみた。

(1)AdobeReader無
スクリプトはJS_ONLOAD.SMZで検出される。
TROJ_MALWARE.VTGも検出された。

(2)AdobeReader7.14と7.10で試してみる
スクリプトはJS_ONLOAD.SMZで検出される。
TROJ_MALWARE.VTGも検出された。

(3)ウイルスバスターCorpを切って(1)と(2)を試してみる
接続後しばらく置いてウイルスバスターでスキャンしてみるが何も出ず。
レジストリのRrunを見てみたが変化なし。

感染してないかも・・

27:26
10/02/07 15:45:39
>>26で一箇所まちがい。
IEは終了時に一時ファイルを削除するようにしてた。

ついでに他のタイプの改竄サイトでためしてみた
123●sub●jp/iwabuchi/

リアルタイム検索でPossibe_Hifrm-5とTROJ_PIDIEF.SMEが検出されるが
ウイルスバスターを切って問題サイト閲覧後、手動検索とてもなにも見つからない。
レジストリのRUNも書き換わっていなかった。

28:名無しさん＠お腹いっぱい。
10/02/07 16:22:34
前スレまだ埋まっていないしテンプレ修正やってる

ｽﾚﾘﾝｸ(sec板)

29:名無しさん＠お腹いっぱい。
10/02/07 17:50:00
8080系ウイルスの感染確認のセーフモードから起動してレジストリエディタでRunエントリ
のRunエントリが分からない。誰か詳しく教えてください

30:名無しさん＠お腹いっぱい。
10/02/07 18:50:24
レジストリエディタを開いて

31:名無しさん＠お腹いっぱい。
10/02/07 18:53:53
レジストリエディタを開いて
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
に移動する。この移動先がRunエントリ。このRunエントリに
"sysgif32"="C:\\WINDOWS\\TEMP\\~TMD.tmp"
"~TM6.tmp"="C:\\WINDOWS\\TEMP\\~TM6.tmp"
のようなのがあれば感染してる。

32:名無しさん＠お腹いっぱい。
10/02/07 18:54:04
>>30
regeditして開いたよ

33:名無しさん＠お腹いっぱい。
10/02/07 18:57:09
くこか

34:名無しさん＠お腹いっぱい。
10/02/07 18:57:44
なかった。感染してないようです。ありがと

35:名無しさん＠お腹いっぱい。
10/02/07 19:05:28
あと、最近はこんなのもあるらしい
"41561623"="C:\\DOCUME~1\\ALLUSE~1\\APPLIC~1\\41561623\\41561623.exe"
"CTFMON"="C:\\WINDOWS\\Temp\\_ex-08.exe"

ガンブラー感染動画2の詳細
URLﾘﾝｸ(www.smilebanana.com)

36:名無しさん＠お腹いっぱい。
10/02/07 19:09:07
で、スタートアップはこれ
C:\Documents and Settings\ユーザー名\スタートメニュー\プログラム\スタートアップ\wwwpos32.exe

37:名無しさん＠お腹いっぱい。
10/02/07 19:13:46
前スレ>>997
URLﾘﾝｸ(labs-uploader.sabaitiba.com)
infected
ファイル名 interiorshop.jp.txt 結果: 17/40
URLﾘﾝｸ(www.virustotal.com)
ファイル名 www.eonet.ne.jp_inoue-clinic.txt
URLﾘﾝｸ(www.virustotal.com)

38:名無しさん＠お腹いっぱい。
10/02/07 19:17:01
つーかVirusTotalからいつのまにかノートン消えてたけどいつから？

39:名無しさん＠お腹いっぱい。
10/02/07 19:20:50
Symantecって無いか？

40:名無しさん＠お腹いっぱい。
10/02/07 19:23:10
少なくとも>>37のには無かった

41:名無しさん＠お腹いっぱい。
10/02/07 19:24:25
ほんとだね
右上の詳細のとこのリストにはあるんだけど

42:名無しさん＠お腹いっぱい。
10/02/07 20:18:15
FFFTP Version 1.97 [2010/2/7]
URLﾘﾝｸ(www2.biglobe.ne.jp)

43:名無しさん＠お腹いっぱい。
10/02/07 20:32:37
>>42
それってこのあいだの改良版と同じ？

44:名無しさん＠お腹いっぱい。
10/02/07 20:36:34
FFFTP をVer.1.97にバージョンアップ。
マスターパスワードの機能を導入しました。パスワードが抜かれないための対策として、マスターパスワードを設定してください。この機能は、げんげんさんが開発してくださったものです。ありがとうございます。
パスワードの暗号化をAESを使用して行うようにしました。パスワード保存時の暗号化の強度が高くなりました。この機能はMocaさんが開発してくださったものです。ありがとうございます。

45:名無しさん＠お腹いっぱい。
10/02/07 20:49:06 BE:7703377-2BP(1236)
>>27
めるぽと念のためろりぽにもつーほーしますた。

46:名無しさん＠お腹いっぱい。
10/02/07 20:51:38
VirusTotalは気分次第でベンダー2,3社欠けるときが結構あるよ

47:名無しさん＠お腹いっぱい。
10/02/07 21:10:31
気分かｗ

48:名無しさん＠お腹いっぱい。
10/02/08 02:14:31
マスターペニス

49:名無しさん＠お腹いっぱい。
10/02/08 04:17:00
URLﾘﾝｸ(www)●milky-ms●com/index2●html
これって、やっぱこれなの
mca○ee役立たずだった

50:名無しさん＠お腹いっぱい。
10/02/08 04:29:55
やられてますな

51:名無しさん＠お腹いっぱい。
10/02/08 04:32:53
これどうやったら、削除できるのよ？
とりあえず、netuza32.exeだけは、スタートアップから抜いたけど、
なんかまだあやすぃ。

52:名無しさん＠お腹いっぱい。
10/02/08 04:37:32

　　/￣￣￣ / 　/''７ ./''７　　　　　　　　/￣/　 /''７
　./ ./￣/　/　　/__/ /　/ 　＿＿＿_　　￣　　/　/
　'ー'　_/　/ 　＿__ノ　/　 /＿_＿＿/ 　＿__ノ　/
　　　/___ノ　 /＿___,.／　　　　　　　　 /＿___,.／

　　　_ノ￣/　/￣/　 /''７　/￣￣￣/　　　/￣/　　　　　　　　　　　　/'''７'''７
/￣　　／　　￣　　/　/ 　￣ﾌ　./　　　/　　ﾞー-; 　＿＿＿_　　　/　/　/.＿
￣/　/　　　＿__ノ　/　　__／　 (___　　/　 /ｰ--'ﾞ　/＿_＿＿/　_ノ　/i　 i/ ./
　/__/　　　/＿___,.／　　 /___,.ノゝ＿/　/＿/　　　　　　　　　　　/__,／　ゝ､__/

いやマジで

53:名無しさん＠お腹いっぱい。
10/02/08 04:41:14
ありがとう
バカフィー市ね。

54:名無しさん＠お腹いっぱい。
10/02/08 04:44:08
クリーンインストールしたら>>3をやっとけ

55:名無しさん＠お腹いっぱい。
10/02/08 07:22:18
スクリプト無効にしておけばいいのに

56:名無しさん＠お腹いっぱい。
10/02/08 07:34:27
マカフィーならペアレンタルコントロールも使っとけよ。

57:名無しさん＠お腹いっぱい。
10/02/08 07:43:45 BE:1258324-2BP(1236)
>>49
めるぽ、念のためさくらにもつーほーしますた。

58:名無しさん＠お腹いっぱい。
10/02/08 08:25:24
マカフィーじゃなくて脆弱性持ちソフトを更新してない>>53が馬鹿なだけなのにな

59:名無しさん＠お腹いっぱい。
10/02/08 09:29:30
>>44
マスターパスワードを設定するとパスワードが抜かれないの？

60:名無しさん＠お腹いっぱい。
10/02/08 10:17:17
同人スレから流れ込んで来るならもうちょっとさあ

61:名無しさん＠お腹いっぱい。
10/02/08 11:50:36
毎度。
www●f-curtain●jp

Gumbler.xとGumbler:8080の複合型っぽい。
Bodyタグの前に難読化されたスクリプトが挿入されてる。

62:名無しさん＠お腹いっぱい。
10/02/08 11:56:09
やっぱさー
>>61とか新型亜種ってfile.exeがおかしくない？
これ感染してくんない・・・

63:名無しさん＠お腹いっぱい。
10/02/08 12:14:51
VMでやろうとしてね?
解析避けのケチケチ機能が前より強化されてる気がする

64:名無しさん＠お腹いっぱい。
10/02/08 12:21:25
>>61
純粋な8080だよ。
main/main.htm は従来通りの場所に全く同じのが仕込まれてる。
トップは</head>の前に入れてるけどgumblar.xは</head>の後。
トップだけ変なとこに入っているのとscriptタグ含めて大文字になっていることから
ホームページビルダーか何かの余計なお世話機能でそうなったんだと思う。

65:名無しさん＠お腹いっぱい。
10/02/08 12:21:29
>>27
カラー設定の8080表記を誤検出してない？
Kaspersky ESET aviraで検出してないんだけど

66:名無しさん＠お腹いっぱい。
10/02/08 12:22:07
実機にクリーンインストールしてもダメだった
xpsp1、ie6、flash 8.x、adobe reader 7.x、jre 6u10

file.exeのDLまではうまく動いてるが、file.exe実行でPCが落ちて自動リブート
リブート後も何も起こらず感染の気配なし
ちなみにVM上でもまったく同じ症状

67:名無しさん＠お腹いっぱい。
10/02/08 12:55:44
>>64
どうもです。
そういえば中途半端なところにタグ挿入されてソース丸見えだったり
scriptがちゃんと動作してない改ざんサイトもあったね…。

あれも余計なお世話機能が働いてたのかもなぁ…。

68:名無しさん＠お腹いっぱい。
10/02/08 15:06:26
8080系で、

<script>/*LGPL*/
<script>/*GNU GPL*/
<script>/*CODE1*/

のどのコメントもない（いきなり難読化したJSコードが書いてある）ものを見かけました。

69:名無しさん＠お腹いっぱい。
10/02/08 15:12:59
チェッカー系って難読化したんじゃなくてそのGPLだかのワード探してるだけなのか

70:名無しさん＠お腹いっぱい。
10/02/08 15:51:35
>>68
既出

71:名無しさん＠お腹いっぱい。
10/02/08 16:09:40 BE:1572825-2BP(1236)
>>61
めるぽしました。

72:名無しさん＠お腹いっぱい。
10/02/08 17:17:58
>>61は新聞にも載ったのにまた随分と放置しまくりだな

73:名無しさん＠お腹いっぱい。
10/02/08 17:25:22
>>71
乙です。

>>72
新聞に載ったのかｗ
再発したんだろうなぁ

74:名無しさん＠お腹いっぱい。
10/02/08 17:42:33
Last-Modified: Mon, 08 Feb 2010 02:14:39 GMT
だし再感染だろう

75:名無しさん＠お腹いっぱい。
10/02/08 18:43:40
Gumblar.X Checkerのパターンを更新しました。
URLﾘﾝｸ(gumblar.s1.dynamitelife.net)

76:名無しさん＠お腹いっぱい。
10/02/08 19:42:13
>>75
乙です

77:名無しさん＠お腹いっぱい。
10/02/08 22:13:49
Gumblar.Xって本格的に活動再開なの？

78:名無しさん＠お腹いっぱい。
10/02/08 22:15:33
いみが

79:名無しさん＠お腹いっぱい。
10/02/09 09:31:44
ネットラジオ聴いててリンク踏んだらノートンが反応したのですが

tokyo●cool●ne●jp

80:名無しさん＠お腹いっぱい。
10/02/09 10:39:17
GumblarChecker 2がFirefox3.6で、適当なURLを調べると上の方に
Notice: Undefined index: src in /home/gumblar/public_html/index.php on line 505
とか出るな。

81:名無しさん＠お腹いっぱい。
10/02/09 14:55:53
>>80
Firefoxだけじゃないだろ。
IEもOperaもChromeもSafariもみんな出るじゃん。

82:名無しさん＠お腹いっぱい。
10/02/09 16:39:10
>>80
それは特に気にしなくてもいいメッセージですが、
とりあえず非表示にしました。

83:名無しさん＠お腹いっぱい。
10/02/09 18:56:41
//www●pinfu●info/blog/hukurahagi/

新コードテスト中？

84:名無しさん＠お腹いっぱい。
10/02/09 19:06:57
>>83
Last-Modified: Mon, 08 Feb 2010 20:10:30 GMT
昨日か

85:名無しさん＠お腹いっぱい。
10/02/09 19:08:25
>>84
いや、GMTだから日本時間だと午前5時だね

86:名無しさん＠お腹いっぱい。
10/02/09 19:10:14
//www●hondasanken●com/newhonda/lofty_suwano/index.html
これも
Last-Modified: Mon, 08 Feb 2010 20:03:22 GMT

87:名無しさん＠お腹いっぱい。
10/02/09 19:21:16
しばらく新種が来ないなと思ったら超新型開発中だったのかｗ
かなり偽装に手が込んでるなぁ

88:名無しさん＠お腹いっぱい。
10/02/09 19:25:17
特徴なのはタグの途中で挿入されてることかな？
LGPLとかDEBUGとかのように</body>直前で挿入されてることはなく

89:名無しさん＠お腹いっぱい。
10/02/09 19:38:51
>>88
スクリプト自体がものすごく変わってる。もちろん検出０。Dr.Webもだめぽ
URLﾘﾝｸ(www.virustotal.com)

ポート8080なのは変わってないけど

90:名無しさん＠お腹いっぱい。
10/02/09 19:46:10
こちらの環境では肝心のブツが落ちてこない…

91:名無しさん＠お腹いっぱい。
10/02/09 19:48:21
こういう時に限ってWepanetメンテナンスだしねえ

92:名無しさん＠お腹いっぱい。
10/02/09 19:49:04
>>86
サイト落ちてる？

93:名無しさん＠お腹いっぱい。
10/02/09 19:50:11
いや、つながるよ

94:名無しさん＠お腹いっぱい。
10/02/09 19:55:47
>>93
さんくす。
>>92のときはつながらなかった。

んでwww●hondasanken●comは全体っぽい。
ぐぐるきゃっしゅは無印8080　＞ 30 Jan 2010 13:50:00 GMT

95:名無しさん＠お腹いっぱい。
10/02/09 20:01:37
8080系がコードを更新中･･･
URLﾘﾝｸ(www)●i-paradise5●jp/~simple/otona/index●php

※明日以降なら↓で釣れそうな予感
"<script>var" ";this.go" "document;this." ".replace(/["

96:名無しさん＠お腹いっぱい。
10/02/09 20:04:15
落ちてこない。変わったの？
:8080/pics/win.jpg
:8080/pics/JavaGame.jar
:8080/pics/ChangeLog.pdf

97:名無しさん＠お腹いっぱい。
10/02/09 20:09:13
ドメインは準備中かな？

98:名無しさん＠お腹いっぱい。
10/02/09 20:10:47
いや、違うか

99:名無しさん＠お腹いっぱい。
10/02/09 20:29:02
うーん、鯖は生きてるみたいだけどねぇ
どうなんだろ

100:名無しさん＠お腹いっぱい。
10/02/09 21:02:11
鯖にアクセスできないぞゴラァ
ウイルスマダー！？

101:名無しさん＠お腹いっぱい。
10/02/09 21:02:52
鯖煮食った

102:名無しさん＠お腹いっぱい。
10/02/09 21:53:33
鯖缶のスレを見つけてそこのレシピを見たら気になってこれから作ってみる

103:名無しさん＠お腹いっぱい。
10/02/09 22:40:56 BE:11318898-2BP(1236)
>>83
ろりぽ
>>86
めるぽ
>>95
whois上流めるぽ
株式会社エヌ・ティ・ティピー・シーコミュニケーションズ (NTT PC Communications,Inc.)

改竄されてはいるので。。。

104:名無しさん＠お腹いっぱい。
10/02/10 01:18:50
>>103 乙！

>>95のスクリプトを投げてみた
URLﾘﾝｸ(www.virustotal.com)
Result：1/41 (2.44%)
Sophos：Troj/JSRedir-AR

( ´・ω・｀)・・・

105:名無しさん＠お腹いっぱい。
10/02/10 01:50:21
www●cory●ne●jp/koujirireki/index●htm

２つ入り
www●homemate-trusty●com/lent/

古いの
www●e-robin●com/recruit/index●html

aguseで見ると.ruの国名がFRになっているんだけど
どういうことだろう？

106:名無しさん＠お腹いっぱい。
10/02/10 01:51:38
二輪駆動ってことだ

107:名無しさん＠お腹いっぱい。
10/02/10 01:52:17
そういうことだよ

108:名無しさん＠お腹いっぱい。
10/02/10 01:56:41
DEになってるときもあったな

109:名無しさん＠お腹いっぱい。
10/02/10 02:05:22
国別ドメインのカントリーコードとサーバがある国は関係ない。

slickdeals-net●alimama●com●imageshack-us●recentmexico●ru
→ 94.23.199.154 FR
→ 188.40.118.68 DE
→ 78.41.156.236 GB
→ 85.25.152.241 DE
→ 91.121.112.227 FR

110:名無しさん＠お腹いっぱい。
10/02/10 04:34:42 BE:2515744-2BP(1236)
>>105
めるぽしました。
whoisからめるぽ。
めるぽしました。

しましましほ。

111:名無しさん＠お腹いっぱい。
10/02/10 07:44:01
マスターペニス

112:名無しさん＠お腹いっぱい。
10/02/10 10:02:13
>>104
相変わらずadobeの脆弱性をつくものなのですか？

113:名無しさん＠お腹いっぱい。
10/02/10 10:11:37
>>112
javascriptがかわっただけでDLされるプログラムは変わってなかった
環境とかによってDLされるプログラムが変わるだろうけど

とりあえず俺の環境だと相変わらず感染もしなかった・・・
file.exeうまく動かないってこれｗ

114:名無しさん＠お腹いっぱい。
10/02/10 10:13:33
>>105の２つ入りのやつの２つは<script>varじゃなくて<script>thisなんだね。
今回はいろんなパターンがあるな。

115:名無しさん＠お腹いっぱい。
10/02/10 10:16:36
こまけえな

116:名無しさん＠お腹いっぱい。
10/02/10 10:23:34
>>113
ありがとう

117:名無しさん＠お腹いっぱい。
10/02/10 10:37:09
いつもの人の記事
「Gumblar.8080」の改ざんコード、規則性が崩れて複数に分裂
URLﾘﾝｸ(blogs.yahoo.co.jp)

>『/*GNU GPL*/』『/*LGPL*/』『/*Exception*/』という特徴的な目印（コメント文）、そして直近のものだと目印がないながらもコードにいちおう規則性があったんですが、今回からコードが複数に分裂してサイトごとにほとんどバラバラな感じ。

で、アクセス制御に関して他の人の記事。非常に面倒くさい仕様になっている模様…
インジェクション 8080のアクセス制御？
URLﾘﾝｸ(jvnrss.ise.chuo-u.ac.jp)

>同一IPアドレスで数日後にアクセスしないとコンテンツ（＝検体）がダウンロードできない

118:名無しさん＠お腹いっぱい。
10/02/10 10:39:46
>>117
その記事は確認済みだけど、確かにその挙動の時もあったけど
必ずしもそうじゃない時もあるんだよね

ほんとよくわからんｗ

119:名無しさん＠お腹いっぱい。
10/02/10 10:46:48
こんだけスクリプト自体も変更してるんだから、アクセス制御なり他の挙動もコロコロ変わってるんだろうねぇ。本体以外は

ホント憎たらしい程に頭良いな、このマルウェアの作者ｗ
たまに本気でデバック段階のコードじゃないのっていうスクリプトを流したりお茶目なことしてくれるけどさ

120:名無しさん＠お腹いっぱい。
10/02/10 11:04:05
頭いいとは思うけど、才能の無駄遣いだよなぁ…

121:名無しさん＠お腹いっぱい。
10/02/10 11:06:24
まだ金とか物理的な被害ってないのかな？

122:名無しさん＠お腹いっぱい。
10/02/10 11:09:34
>>120
随分と大規模な才能の無駄遣いだよな

123:名無しさん＠お腹いっぱい。
10/02/10 11:34:00
>>120
こういう人がセキュリティ会社に入ってソフト作ってほしいよな。
高給で雇わないかなぁ。

124:名無しさん＠お腹いっぱい。
10/02/10 11:44:22
allabout●co●jp/gm/gc/7236/

チェッカーに引っかかったのだが

125:名無しさん＠お腹いっぱい。
10/02/10 11:51:13
>>124
親子丼とか見せんじゃねー
一気に腹へっちまったじゃねーかｗｗ

126:名無しさん＠お腹いっぱい。
10/02/10 12:01:23
ノートンがRapid Releaseで対応してきた

127:名無しさん＠お腹いっぱい。
10/02/10 12:16:34
>>123
コードの難読化自体はそんなに難しいことではない
それでもこの作者はかなりやり手だけど

キラよりもＬの方が立場は厳しい

128:名無しさん＠お腹いっぱい。
10/02/10 12:19:12
こんなのやってるのは底辺だろ

129:名無しさん＠お腹いっぱい。
10/02/10 12:43:58
それにしても急に感染広まったのって何故？
プログラムの中身の変化にあまり関係なくみたいだが。

130:名無しさん＠お腹いっぱい。
10/02/10 12:51:59
感染原因になるプログラムの更新をしてない鯖管がそれだけ多いってことじゃね？
感染してftpパス抜かれても改ざんが目に見えない箇所だから
めるぽとかされなきゃ気づかないんだろう

131:名無しさん＠お腹いっぱい。
10/02/10 13:06:18
>>130
詳細な動作検証をしないとパッチを当てられないポリシーのところが多い
汎用機時代の考えから抜けられないバカ情シスのせい

パッチをあてなきゃ
↓
でも検証しなきゃ当てられない
↓
検証しなきゃ
↓
予算がない
↓
パッチあてられないね
↓
ウイルスにやられたウギャー

132:名無しさん＠お腹いっぱい。
10/02/10 13:15:41
MSパッチでてるね

133:名無しさん＠お腹いっぱい。
10/02/10 18:32:38
スクリプトも変化してるが、
最後のfile.exeなんかほぼ常時、
アンチウィルスソフトでは引っかからない状態なんだけど
まさか落として来て実行されるなんてことはないよな？

134:名無しさん＠お腹いっぱい。
10/02/10 18:35:05
そのウイルス対策ソフトがダメなんじゃないの？

135:名無しさん＠お腹いっぱい。
10/02/10 18:35:12
ほぅ‥‥‥
URLﾘﾝｸ(blog.f-secure.jp)

136:名無しさん＠お腹いっぱい。
10/02/10 18:38:44
>>135
ありゃ
これは完全に日本人狙ってるね

137:名無しさん＠お腹いっぱい。
10/02/10 18:46:20
年賀状PDFか

138:名無しさん＠お腹いっぱい。
10/02/10 18:46:33
ネットワークの脅威の改善、これはネットワーカーの責務です。
ガンブラーはネットワークの脅威です。

さて、ネットワーク上からガンブラーを消し去って
ネットワークの脅威はなくなるのでしょうか。

ネットワークの脅威とは何なのでしょうか。
マシンを管理出来ない方、HPを管理出来ない方
彼等もまたネットワークの脅威なのかも知れません。

ガンブラー仕掛け人に問います。
貴方達のしている事、それは
ネットワーカーとして胸を張れる事なのかと。。。

139:名無しさん＠お腹いっぱい。
10/02/10 18:50:27
ウイルスは作品だろ

140:名無しさん＠お腹いっぱい。
10/02/10 18:51:10
>>134
どこのウィルスソフトでも変らんよ。
今拾って来たfile.exeに反応するのはSymantecとTrendMicroだけだし。
このfile.exeもまた明日になれば変わる。
また数社が検出するか、全く検出しないかで、
また次の日が来ればfile.exeは変わる。
その繰り返し。

141:名無しさん＠お腹いっぱい。
10/02/10 18:52:08
穴ふさいどけそんだけ

142:名無しさん＠お腹いっぱい。
10/02/10 19:16:29
avastも一気に3パターンくらい追加したらしい
JS:IllredirがIまで来てる(俺が確認したのはFまでだった)

URLﾘﾝｸ(www.virustotal.com)

143:名無しさん＠お腹いっぱい。
10/02/10 19:33:03
ウィルス？
ウィルスソフト？

ｗｗｗ

144:名無しさん＠お腹いっぱい。
10/02/10 19:39:30
つか、もうアンチウイルスソフトベンダー各社は :8080/ を含むアドレスのアクセスの一時遮断と
警告メッセージを出すようなフィルタの標準装備を考えた方がいいんじゃね？

145:名無しさん＠お腹いっぱい。
10/02/10 19:40:30
そんなのすぐに対処されるからほとんど意味ない

146:名無しさん＠お腹いっぱい。
10/02/10 19:54:57
プロバイダだけどbiglobeは海外からのftp接続を遮断するってさ

147:名無しさん＠お腹いっぱい。
10/02/10 20:03:41
しかしここまで面倒なことになるとはなぁ
迷惑だが、このウィルス作り出したヤツは凄いとも思うわ
穴ふさぎしていても、一抹の不安はあるわ

148:名無しさん＠お腹いっぱい。
10/02/10 20:18:20
下手人は日本人ですか？

149:名無しさん＠お腹いっぱい。
10/02/10 20:31:24
>>146
こりか。
URLﾘﾝｸ(homepage.biglobe.ne.jp)

150:名無しさん＠お腹いっぱい。
10/02/10 20:36:08
>>146
BIGLOBEは海外からFTPで接続して改ざんされてると思ってるのかな…
その可能性もあるけど、海外からの接続遮断しても改ざんされてたら
第三者の仕業じゃないって証明にもなるな

151:名無しさん＠お腹いっぱい。
10/02/10 20:37:51
時間稼ぎにはなるとは思うが
今度は国内のボットネット感染PCを使って広めたりしそうだな
だがmeshユーザーとしては有難い処置だ

152:名無しさん＠お腹いっぱい。
10/02/10 20:41:16
>>150
そのへんはログ見て判断したんだろ
さすがに想像だけで行動するほどバカじゃないはず

153:名無しさん＠お腹いっぱい。
10/02/10 20:51:04
効果のほどはやってみないとわからないとしても、ISPの側から対策に乗り出した姿勢は評価。
サイト主の自己管理に任せていてもらちがあかないのは確かなんだし。

154:名無しさん＠お腹いっぱい。
10/02/10 20:52:00
>>150
ユーザー自身によるFTPアクセス制限の開放・遮断を行う機能も追加する予定らしいし
ユーザーがしっかり対処すれば、FTPパスを盗んだだけじゃまず改変できなくなるだろう

155:名無しさん＠お腹いっぱい。
10/02/10 21:01:56
海外サイトでのGumblar感染はあまり聞かないね
ここまで晒されてるURLは日本のサイトがほとんどだし

156:名無しさん＠お腹いっぱい。
10/02/10 21:07:30
アホなこと言うなよ日本だけのわけないだろ

157:名無しさん＠お腹いっぱい。
10/02/10 21:11:41
>>155
海外のサイトだとほとんど反応ないよな。

158:名無しさん＠お腹いっぱい。
10/02/10 21:16:09
またアホが

159:名無しさん＠お腹いっぱい。
10/02/10 21:20:54
海外は確かに少ないね

ニュースになるだけで
ふ～ん　そっか～　見たいな感じ

160:名無しさん＠お腹いっぱい。
10/02/10 21:23:37
海外のサイト見ないからだろ
一人で必死に嘘言うなよ

161:名無しさん＠お腹いっぱい。
10/02/10 21:25:53
複数のFTPクライアントのなかにFFFTPが含まれてたり
様々なサイト名のなかに日本のサイトが含まれてるだけで
日本を攻撃してるなんて言ってるアホもいるからな
そう言うのを信じるやつもいるから
いい加減な嘘はやめれ

162:名無しさん＠お腹いっぱい。
10/02/10 21:28:37
>>135は開いても大丈夫なの？

163:名無しさん＠お腹いっぱい。
10/02/10 21:37:38
>>160
ん？お前なに必死になってんの？
海外サイト見てるんだぜ
すごいぜとでもいいたいの？
ばかじゃねーの？ｗｗ

164:名無しさん＠お腹いっぱい。
10/02/10 21:40:51
ロシアの地震予知サイトが2度攻撃受けてるがな

165:名無しさん＠お腹いっぱい。
10/02/10 21:41:30
ほんとなら　【　感　染　し　て　い　る　！　】　海　外　サ　イ　ト　　の　U　R　L　
張って欲しいな

次ページ