アナログ
RSS 入 新 編　画
<< 2010/01 >>
日 月 火 水 木 金 土
01 02
03 04 05 06 07 08 09
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30
31

RSS

Web改竄のコードが変化 ― 2010/01/08 05:51

www●zenoah●co●jp
【Gumblar/GENO】Web改竄ウイルス総合スレ【8080】 - 2ch.net
541 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 01:08:28
>>523
/*LGPL*/
ちょっと変わってるぞ

>>529
あれ？　こっちでは反応ない

543 名前：541[sage] 投稿日：2010/01/08(金) 01:22:17
もう一ヶ所/*LGPL*/になっている所をみつけた
新型スクリプトみたいだな
検出できるのはノートンの侵入検知くらいかも
avast!にはスクリプトの検体を提出しておこう

562 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 04:22:12
ドクター中松のサイトが/*LGPL*/になった・・・

「GNU GPL」が「LGPL」に置き換わりだした。
LGPLのコメントを埋め込む改竄
orkut-com-br.hattrick.org.wiktionary-org.webnetenglish●ru:8080/google.com/google.com/intel.com/vnet.cn/onlinedown.net/

Google Cache 2009年12月31日では「GNU GPL」だった
Google Cache 2009年12月31日ではGNU GPLだった
gumtree-com.azet.sk.csdn-net.themobilewindow●ru:8080/google.com/google.com/schuelervz.net/basecamphq.com/blogbus.com/


avast!のWebシールドでも反応しない新ガンブラーが登場 - 2ch.net

新型じゃないのに新ってつけちゃう>>1って
（何がダウンロードされるか確認してないけれど、難読化のコードが変わっただけと思うよ）
ウイルスコードも変わってるそうです。m(_ _)m

avast!Anti-Virus Part120 - 2ch.net
448 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 08:02:20
どこも検出しない
ttp://www.virustotal.com/jp/analisis/9c063a80b9be621983142f51b500161003ca8e6b8ce7e3127c249fb1e34b184c-1262904786
この前に出来るpdfupd.exeは検出するところもあるがこれはしない

449 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 08:29:23
>>448
確認だけど、これは/*GNU GPL*/の話？

450 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 08:42:03
>>449
新しいやつ/*LGPL*/

452 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 08:51:26
>>450
おぉ、すごいね
で、_TM6.tmpっていうのがウイルス本体なのか
脆弱性の攻撃方法は/*GNU GPL*/と同じだった？
質問ばかりですいません

453 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2010/01/08(金) 08:55:07
>>452
>脆弱性の攻撃方法は/*GNU GPL*/と同じだった？
ActiveXの脆弱性がある状態で試したところ
今までと同じようにwin.jpgがダウンロードされて同じような攻撃をされた
攻撃の手法は同じっぽい

by puppet [セキュリティ] [Gumblar] [コメント(3)｜トラックバック(0)]

コメント

_ touko ― 2010/01/08 13:48

こんにちは。いつも色々な情報をありがとうございます。とても助かってます。
ところで、
avast!のWebシールドでも反応しない新ガンブラーが登場 - 2ch.net
のリンクを踏んだら、NOD32が反応して「JS/TrojanDownloader.Agent.NRL トロイの木馬」が出たのですが･･･危険かもしれません。

_ puppet ― 2010/01/08 15:39

touko様、こんにちは。

スレッドはテキストで処理されるので、スレッド自身が危険ということはありません。
ウイルス対策ソフトが反応するのを面白がって、改竄コードを書き込むアホがいるせいです。

ただし、2chの外のリンクをクリックして反応したのなら危険がありますが、それはここに貼ったスレッドとは関係ありません。

あと、ウイルスの情報を集めるためにリンクをクリックする場合は、JavaScriptを切って収集しましょう。
ミイラ取りがミイラにというのはよく聞く話です。



ちなみにそのアホの書き込みです。

23 名前： ◆SsSSsSsSSs [sage] 投稿日：2010/01/08(金) 03:06:49.19 ID:SIukZWYS

（改竄コードが貼り付けられているが危険はない。対策ソフトはここに反応します）

143 名前： ◆SsSSsSsSSs [sage] 投稿日：2010/01/08(金) 12:49:50.14 ID:SIukZWYS
これはavast先生的にどうなの？

（改竄コードが貼り付けられているが危険はない。対策ソフトはここに反応します）

146 名前： ◆SsSSsSsSSs [sage] 投稿日：2010/01/08(金) 13:00:49.06 ID:SIukZWYS
>>145
てかもう死んでるね
（ここに外部リンクのPDFウイルスが貼られていて、クリックすると危険）



この手のアホは、騒乱罪のようなものを適用して取り締まれないですかねぇ。

_ touko ― 2010/01/13 14:05

puppet様

こんにちは。
お返事及び詳しいご説明ありがとうございました。安心しました。
お手数をお掛けしてしまって申し訳ありませんでした。
今はNoScriptを入れて、ちょっとびくびくしながらネットをしている状況です。ご助言ありがとうございました。

コメントをどうぞ

※メールアドレスとURLの入力は必須ではありません。 入力されたメールアドレスは記事に反映されず、ブログの管理者のみが参照できます。

※投稿には管理者が設定した質問に答える必要があります。

名前:
メールアドレス:
URL:
次の質問に答えてください:
スパムがウザイので合い言葉を入れるようにしました。山と言えば川だろJK
山

コメント:

トラックバック

このエントリのトラックバックURL: http://puppet.asablo.jp/blog/2010/01/08/4802468/tb

※なお、送られたトラックバックはブログの管理者が確認するまで公開されません。