12/08/14 12:41:21.97 BE:4628902289-PLT(31018)
改ざんされたWebページを経由して感染するウイルスの情報・対策スレです
感染しているサイト・ウイルス情報・対策方法・脆弱性情報などをお願いします
一部のウイルス被害が増加して混乱するようなら別スレを立てて誘導してください
基本的な対策としてセキュリティ・アップデートを欠かさないようにしましょう
＊＊＊ 危険と思われるサイトのアドレスはそのまま貼らないで全ての「.」を「●」に変えてください ＊＊＊
＊＊＊ 感染した場合はクリーンインストールと安全なPCからのFTPパスワードの変更を推奨します ＊＊＊
前スレ
【Gumblar/GENO】Web改竄ウイルス総合10【8080】
ｽﾚﾘﾝｸ(sec板)
2:名無しさん＠お腹いっぱい。
12/08/14 12:42:09.51
Gumblar(.x)、8080系ウイルス対処法。
行っておくべき事項を箇条書きにしました。
細かなことは他にもいろいろありますが、とりあえず以下を実施して下さい。
(1）Microsoft Update（Windows Update）を実行しシステムを最新の状態にする
(2）Adobe Readerを最新版に更新する
(3) Adobe ReaderのAcrobat JavaScriptを無効に設定
(4) JRE(Java Runtime Environment)を最新版に更新する
(5) Flash Playerを最新版に更新する
(6) QuickTimeを最新版に更新する
(1)～(4)を行っていれば、現時点で改ざんサイトを閲覧してもウイルスには感染しない。
攻撃コードは変化する可能性もあるので、念のため全て行っていただきたい。
Adobe Readerなどのアップデート方法については下記のトピックスを参照のこと。
Acrobat JavaScriptを無効にする方法は以下の通り。
(1）Adobe Readerを起動し[編集]メニューの[環境設定]を選択
(2）「分類」の中の「JavaScript」を選択
(3）「Acrobat JavaScriptを使用」のチェックをクリア
(4）「OK」ボタンを押す
※サイトを運営されている方は、さらに次のことも実施していただきたい。
(1）管理サイトのページのソースに意味不明な文字列が埋め込まれていないか確認する
(2）改ざんされていたり、サイト管理に使うパソコンからウイルスが見つかった場合には、
ウイルスに感染していないパソコンを使用して管理サイトのパスワードを変更する
3:名無しさん＠お腹いっぱい。
12/08/14 12:42:25.57
【脆弱性を利用されやすいソフトウェア】
下記については必ずアップデートしてください
使用していないものはアンインストール推奨です
■ Windows XPは可能ならば新しいOSに
■ Windows Update / Microsoft Updateを更新
・XP以下は念のためMicrosoft Updateに変更してアップデートする
■ Adobe Reader(Acrobat,Acrobat Reader)を更新 (使っていないならアンインストール)
URLﾘﾝｸ(get.adobe.com)
・インストール後本体をアップデート
ヘルプ → アップデートの有無をチェック
・Acrobat Javascriptをオフにする
編集 → 環境設定 → Javascript → 「Acrobat Javascriptを使用」のチェックを外す
■ Adobe Flash Playerを更新 (動画サイト見てるなら絶対入ってる。IE版、Firefox等の非IE版に注意！)
URLﾘﾝｸ(get.adobe.com)
URLﾘﾝｸ(www.adobe.com)
・Flash Playerのバージョン確認
URLﾘﾝｸ(www.adobe.com)
URLﾘﾝｸ(www.adobe.com)
■ Adobe Shockwave Playerを更新 (最近は使わないはずなのでアンインストール)
URLﾘﾝｸ(www.adobe.com)
■ Java Runtime Environmentを更新 (Javascriptとは違うので注意)
URLﾘﾝｸ(www.java.com)
・Javaのバージョン確認
URLﾘﾝｸ(www.java.com)
■ QuickTimeを更新 (メールアドレスの入力は不要。使っていないならアンインストール)
URLﾘﾝｸ(www.apple.com)
■ RealPlayerを更新 (使っていないならアンインストール)
URLﾘﾝｸ(jp.real.com)
4:名無しさん＠お腹いっぱい。
12/08/14 12:42:39.25
ブラウザのjavascriptを無効にする(しっかり対策してれば不要だが、念のためjavascriptはOFFを推奨)
※javascriptをオフにすると、その機能を利用した一部のサイトが見られなくなる可能性があります
●InternetExplorer ツール→インターネットオプション→セキュリティ→
レベルのカスタマイズ→スクリプトのとこ全部無効にチェック
※ActiveXもOFF
●Opera ツール→クイック設定→「javascriptを有効にする」のチェックを外す
●safari 編集→設定→「JavaScriptを有効にする」のチェックを外す
●Sleipnir ツール→Sleipnirのオプション→ビュー（Trident）→
デフォルトセキュリティ欄の「JavaScriptの実行を許可する」のチェックを外す
●Lunascape ツール→設定→セキュリティ→スクリプトの実行を許可のチェック外す
※SP3でIE8を使うと重くなる場合、Sleipnir＆IE8Sleipnirエディション
もしくはLunascape5を使うといいようです。
●Firefox ツール→オプション→コンテンツでJavaScript有効にするをはずす
5:名無しさん＠お腹いっぱい。
12/08/14 12:42:53.38
ブラウザ個別のプラグイン・アドオン等の使い方に関しては各ブラウザのスレへ行って下さい。
【改ざんサイトの調査など】
■ チェッカーサイト
・gredでチェック
URLﾘﾝｸ(www.gred.jp)
・aguse
URLﾘﾝｸ(www.aguse.net)
・WebGetter
URLﾘﾝｸ(rd.or.tp)
・Dan's View Source
URLﾘﾝｸ(www.dan.co.uk)
・飛び先のチェック by ぴょん基地の友達
URLﾘﾝｸ(www.kakiko.com)
6:名無しさん＠お腹いっぱい。
12/08/14 12:43:06.85
改竄を確認して通報する場合、サイト管理者への通報とともにJPCERT/CCに届出もお願いします。
■インシデント報告の届出(JPCERT/CC)
URLﾘﾝｸ(www.jpcert.or.jp)
サイト管理者の連絡先不明の場合はWHOISからサーバー管理者へ通報してください。
以下、代表的なサーバー管理会社
デジロック URLﾘﾝｸ(www.value-domain.com)
OCN URLﾘﾝｸ(www.ocn.ne.jp)
さくら URLﾘﾝｸ(secure.sakura.ad.jp)
ロリポップ URLﾘﾝｸ(lolipop.jp)
GMOインターネットグループ URLﾘﾝｸ(secure.gmo.jp)
インフォシーク (isweb) URLﾘﾝｸ(portal.faq.rakuten.co.jp)
DION URLﾘﾝｸ(www.auone-net.jp)
NTTPCコミュニケーションズ URLﾘﾝｸ(www.nttpc.ne.jp)
ODN URLﾘﾝｸ(www.odn.ne.jp)
xserver (株式会社ベット) URLﾘﾝｸ(www.xserver.ne.jp)
heteml ヘテムル URLﾘﾝｸ(secure.heteml.jp)
ファーストサーバ URLﾘﾝｸ(www.firstserver.co.jp)
エキサイト URLﾘﾝｸ(www.excite.co.jp)
7:名無しさん＠お腹いっぱい。
12/08/14 12:43:27.37
改竄を受けたら
ウイルス・不正アクセス届出状況について（3月分および第1四半期）
URLﾘﾝｸ(www.ipa.go.jp)
（3）ウェブサイト改ざんの被害発生時の対処
ウェブサイトが改ざんされてしまった場合、ウェブサイト管理者は被害者であると同時に、ウェブサイト利用者に対する加害者となってしまう可能性があります。
被害の拡大を防ぐために、次に示すような対応が求められます。
▼まず初めに行うべきこと
まず初めに行うことは、早急にウェブサイトの公開を停止することです。同時に ftp のパスワードの変更も行ってください。
このとき、これまでウェブサイトの管理に利用していたパソコンには、ftp のパスワードを盗聴するウイルスが感染している可能性があるため、別のパソコンから操作することを勧めます。
同時に、別のウェブサイトを立てるなどして、ウェブサイト利用者に対して調査状況の説明や、問い合わせ用窓口を設けるなど、随時情報提供に努めてください。
▼改ざん箇所の洗い出し等の調査
上記の対応を行ったのち、保管しておいたクリーンなファイルとウェブサーバ上のファイルの比較などの方法で、全ての改ざん箇所の洗い出しを行ってください。
また、同じパソコンで管理しているウェブサイトが複数ある場合、他のウェブサイトにも改ざんが及んでいる可能性があるため、必ず全てのウェブサイトのファイルを確認してください。
また、改ざん期間等を把握するため、改ざん箇所ごとに ftp のアクセスログの確認などを行なって、被害状況等の調査を行ってください。
▼ウェブサイトを再公開する場合
上記の対応で全ての改ざん箇所の修正を行った上で、ウェブサイトの公開を再開する場合、必ずウェブサイト利用者への改ざんの事実の告知も掲載してください。
ウェブサイト再開の際には、判明した範囲で、次に示す情報を告知することを勧めます。
改ざんの事実の説明
・ 改ざんされていた箇所
・ 改ざんされていた期間
・ ウェブサイト利用者が改ざんされていた箇所を閲覧した場合に想定される被害（ウイルス感染など）の説明
・ ウイルスのチェック方法の説明（必要に応じてオンラインスキャンサイトの紹介など）
・ 問い合わせ用窓口の連絡先
IPAに不正アクセスの届出
URLﾘﾝｸ(www.ipa.go.jp)
8:名無しさん＠お腹いっぱい。
12/08/14 12:43:46.37
■ 専ブラで右クリからの検索を有効にする方法。
設定例：JaneView
設定＞基本＞機能＞コマンド欄で
コマンド名 任意の名前
実行するコマンドに 任意のURL
を記載して追加。終わったら「よろし」をクリック。
これで設定完了。
URLﾘﾝｸ(www.geocities.jp)
これで専ブラから検索でチェックできるようになります。
以下がそのコマンドの一例になります。
aguse.net サイト情報検索=URLﾘﾝｸ(www.aguse.net)
飛び先のチェック=URLﾘﾝｸ(www.kakiko.com)
WebGetterでソースを見る=URLﾘﾝｸ(rd.or.tp)
WebGetterでタグを除去してソースを見る=URLﾘﾝｸ(rd.or.tp)
WebGetterでリンクを抽出する=URLﾘﾝｸ(rd.or.tp)
Dan's View Sourcelでソースを見る=URLﾘﾝｸ(www.dan.co.uk)
Dr.WEB=URLﾘﾝｸ(online.drweb.com)
9:名無しさん＠お腹いっぱい。
12/08/14 19:03:59.99
>>8
WebGetterのドメインが変更になったもよう。
rd.or.tp → rd.or.tl