べつになんでもないこと

抗争なのか何なのかよくわからない状況で無害化されていたスクリプトが一斉に復旧しています。

現時点での脆弱性攻撃に変動があるかどうかは不明ですが、とりあえずいつも通りの対策をとっておきましょう。

難読化する必要がない404が難読化されていました。

ガンブラー対策（Gumblar/8080）

◆Q1 サイトの改ざんとウイルス感染はどのように結びついているのでしょうか。
◆Q2 改ざんされたサイトは、見た目に何か変化があるのでしょうか。
◆Q3 改ざんされたサイトにアクセスすると、必ずウイルスに感染するのでしょうか。
◆Q4 サイト改ざんでは、現在までずっと同じ攻撃方法が使われているのでしょうか。
◆Q5 ニュース等でよく目にする「ガンブラー」とは何を指しているのでしょうか。
◆Q6 「Gumblar」や「Gumblar.x」の情報は、「8080」にもあてはまりますか。
◆Q7 感染した場合、ウイルスはどんな悪さをするのでしょうか。
◆Q8 どんな状態のパソコンがウイルスに感染してしまうのでしょうか。
◆Q9 ウイルス感染を防ぐための対策を教えてください。
◆Q10 何も対策していない状態で改ざんサイトを閲覧してしまいました。どうすればいい？

また、追加情報によると、初代GumblerはFTPのアカウント情報が盗まれましたが、今回はウェブサイトの閲覧履歴の情報も持っていかれているようです。

改ざんされたページから不正なコードで導かれた先にある脆弱性を突くJavaScriptコードが従来と違うパターンのものを確認してます（18日あたりから）。Adobe以外に、MDAC（Microsoft Data Access Components）の脆弱性を突くっぽい雰囲気な処理が現れます。

　新しい検体ほど対応数が少ないという感じ。ウイルス本体はほとんど毎日差し替えられてます。

5日時点で再調査を実施したところ、サイト側で削除が19件から14件に減り、他の47件は何らかの改ざん状態にあった。攻撃コードを除去したはずのサイトも、再改ざんを受けて復活しているのだ。

やってることはこういうこと。
(1) regedit.exe起動時にGumblarのDLLが挿入される
(2) DLLがZwOpenKeyを書き換えてRegOpenKeyExが呼ばれた場合に、挿入したコードにジャンプさせるようにする
(3) ユーザーがregedit.exeでDriver32を開く → RegOpenKeyExが呼ばれる
(4) (2)で挿入されたコードにジャンプし、開くキーがDriver32ならmidi9のエントリを削除する (画像赤線)
(5) regedit.exeがDriver32のエントリを取得するがこのときmidi9は削除されているから表示されない
(6) 1秒ちょっと経った後winlogon.exeが再びmidi9のエントリを作成する (画像青線)

あと、(2)と(3)の処理のときにAppInit_DLLsなどのエントリのデータも書き換えられている。
（中略）
上記 (1) regedit.exe起動時にGumblarのDLLが挿入される　について
Gumblar感染時に生成された不正なDLLは、regedit.exeだけでなく、ほとんど全てのプログラムに挿入される(実行後、当該プログラムのプロセスメモリにロードされるので実行ファイルが改ざんされるわけではない)。

上記 (2) DLLがZwOpenKeyを書き換えてRegOpenKeyExが呼ばれた場合に、挿入したコードにジャンプさせるようにする　について
これもregedit.exeだけでなく、上記DLL挿入後、全てのプログラムで書き換えが行われると思われる。

よって、regedit.exeだけなく、他のレジストリエディタでもmidi9の隠蔽が行われると思われる。
実際にいくつかのレジストリエディタで確認したところ、上記(1)から(6)と同じ挙動が確認できた。