いわゆるGENO系ウイルス感染してみた

改ざんされたサイトにアクセスしてみる　その１

とある美容院のサイト

今確認してみたらソースのお尻のほうに

<script>/*GNU GPL*/ try{window.onload　～(略)～

<!--a177cb085520d93～(略)～42866-->

こんな記述あり。

何やってるのかよくわからない動画になってしまった。

いや、もうちょっと画面がチラつくとか何か表示されるとかあるのかと思ったんですが、派手な事は何もおきねぇ。

表示中にCPU使用率とメモリ使用量が一瞬上がったくらい。

あと、ステータスバーをよく見ているとページ読み込み時に

勝手に他のサイトから怪しいファイルをダウンロードしているという表示がペロペロっと出ます。(↑のアドレスには絶対アクセスしないように)

それから、(プロセスを見ていれば)勝手にjava.exeとAcroRd32.exeが起動するのがわかります。

けど、それだけ。

よくわからないけど恐らくこれで感染してます。

うわー、こんなん絶対気付かんわー・・・

ちなみにMSEは無反応。

引き続き別のサイトを表示してみます。

改ざんされたサイトにアクセスしてみる　その２

とある指揮者の方の公式ブログ(WordPressME2.0.9で構築されている様子)

現在は復旧しているようですが、昨晩の時点ではソースのお尻に

<script>/*GNU GPL*/ try{window.onload　～(略)～

<!--45eab719efa59～(略)～0cfa8cb-->

こんな記述がありました。

相変わらず何やってるのかよくわからない動画に・・・。

ただ、こちらもステータスバーをよーーっく見てるとページ読み込み時に

一瞬こんな表示がペロペロっと出ます。(↑のアドレスには絶対アクセスしないように)

でもやっぱりそれだけ。

相変わらずよくわからないけど恐らくこれも感染してます。

そしてMSEは無反応。

で、その後色々調べ物をしているうちにうっかり寝てしまい、目を覚まして他の(改ざんされていない)Webサイトを見て回っていると、突然IEがフリーズ寸前な重たい感じに。

タスクマネージャを見てみると、iexplore.exeのメモリ使用量がぐいぐい上がっている様子(1.2GBくらいまで上がったのは確認)なので、とりあえずiexplore.exeを強制終了。

勘の鋭い人ならここらへんで「ん？ちょっとおかしいぞ？」と気付くかな？という事で

MSEでフルスキャンを行ってみます。

検出されたウイルスは3種類

Trojan:Java/Selace.K

Exploit:Java/CVE-2008-5353.C

Trojan:Java/Selace.l

検出されたファイルは多数ありましたが場所はいずれも

C:\Documents and Settings\(ユーザー名)\Local Settings\Temp\

これだけではちょっと不安なので、今回対応が早かったと噂のKasperskyでオンラインスキャンしようと思ったら

現在メンテナンス中のため、ご利用いただけません。ご迷惑をおかけして申し訳ございません。
機能を強化した新しいバージョンのカスペルスキーオンラインスキャナが近日中にリリースされます。

残念。

そこで、エンジンはKasperskyだという@niftyウイルスチェックサービスでスキャンしてみようと思ったら

何回試しても上手くスタートしないので諦めて電源落として一旦寝る。

そして翌日、トレンドマイクロのオンラインスキャンをやってみる。

・・・でスキャンをしていると

思い出したかのようにMSEが反応。

なぜ今！？

それもバラバラに3回。

結局ここで検出したウイルスは2種類

Trojan:JS/Redirector.BF

Trojan:JS/Redirector.BE

検出したファイルの場所は

C:\Documents and Settings\(ユーザー名)\Local Settings\Temporary Internet Files\Content.IE5\

C:\Documents and Settings\(ユーザー名)\Local Settings\Temporary Internet Files\Content.IE5\2KRWBKKX\

C:\Documents and Settings\(ユーザー名)\Local Settings\Temporary Internet Files\Content.IE5\JUTPRA2I\

C:\Documents and Settings\(ユーザー名)\Local Settings\Temporary Internet Files\Content.IE5\NF6Z0OII\

ちなみにトレンドマイクロのほうのスキャンは

デスクトップに保存してあったKates用のワクチンファイルをなぜか誤検出して終了。

感想

・対策をしてないとびっくりあっさり感染する。ダイアログも何も出てこないのでまず気付かない気がする。

対策　→　 Gumblar攻撃再開（要注意）: べつになんでもないこと

・今回のようなタイプのウイルス(の感染活動)に対して、Microsoft Security Essentialsは無力らしい？？

検出はするけれども、侵入は防げない？？

「いざ怪しい動きをし始めたらちゃんとブロックしてくれるんだろ？それなら別にいいじゃん。」って言われたらまぁそうなんですけど・・・

・感染してるのかどうかの判断が難しい。

(改ざんされたサイトへアクセスした時の反応が)あまりにあっさりしてるので「本当に感染してんのか？」と思って確認しようとしたんだけども
「こんなファイルがあったら/レジストリの記述があったら感染してますよ！！」とかいう基準になるようなものがわからず。
セーフモードで起動してスタートアップとかレジストリとか確認しても特に怪しいファイルが増えてるような事はなかった(レジストリを見てもmidi9は見つからなかった。)
IEの動きが重くなったのでなんとなく気付けて、フルスキャンをかけてようやく「あぁ、本当に感染してたんだ」とハッキリわかった次第。

・やっぱり、昨日退治していたSecurity Toolもこのタイプのウイルス感染がきっかけになっているらしい。

今はまだこの程度で済んでますけど、今後、前のGENOみたいに画面が真っ暗になって正常にWindows起動しなくなっちゃう！とか、個人情報かきあつめてばらまいちゃう！とかいうタイプの凶悪な亜種が出てくる可能性も十分にあると思うので、「ホームページの管理とか関係ねー」という人もきっちり対策しておくことをおすすめします。

次回へ続く