トップページ

■VALUE DOMAIN/XREA/AccessAnalyzer 不正改竄問題の流れ

※自動リンクが効かないように、 URLに〆を挿入しています。

07/06 VALUE DOMAINのログイン画面に不正なJSが挿入される改竄が発見される（第1報・改竄を確認）
　　　ログイン画面　(A) ttp://www.value-domain〆.com/login.php　は
　　　(B)　ttp://1856317799〆:888/s.js　を呼び出している
　　　(C)　ttp://110.165.41.103〆:888/dir/m.htm　を呼び出している
　　　(D)　ttp://110.135.41.103〆/dir/show.php　を呼び出している
　↓
07/06　魚拓が取得される
　　　　ttp://s03.megalodon.jp/2009-0706-1843-51/https://〆www.value-domain.com/login.php
　↓
07/06　(C)にノーガードのXPでアクセスしたところキーロガーが検出・ダウンロードされた
　↓
07/07　(A)のlogin.phpから不正なjsコードが削除される
　　　(VD側が削除したのか、不正アクセス元が削除したのかは不明)
　↓
07/07　MSからアドバイザリ、IPAからアナウンスが出る
　　　　http://www.microsoft.com/japan/technet/security/advisory/972890.mspx
　　　　http://www.ipa.go.jp/security/ciadr/vul/20090707-ms-activex.html
　↓
07/07　VDにこの件に関して問い合わせを行ったところ「改竄は確認できませんでした。」との返答がある
　↓
07/07　-以前xreaで発生した改竄との関連が指摘される
　↓
07/08　AccessAnalyzerのトップページ・管理ページ全般に不正なJSが挿入される改竄が発見される
　　　ログイン画面　(E) ttp://ax.xrea.〆com/login.php （2台のサーバでラウンドロビンしているが、改竄されたのは219.101.229.188のほう）は
　　　(F)　ttp://1856317799〆:888/jp.js　を呼び出している
　　　(G)　ttp://0x6EA52967〆:888/dir2/show.php　を呼び出している
　　　(H)　ttp://0x6EA52967〆:888/dir2/go.jpg　を呼び出している
　　　(I)　ttp://1856317799〆:888/counter.htm　を呼び出している
　↓
07/10　マルウエアが設置されていた 110.135.41.103（= 1856317799 = 0x6EA52967）のサーバーが凍結される。
　↓
07/13　大手プロバイダSo-netの「So-net セキュリティ通信」で、名指しで改竄＆放置を指摘される
　↓
07/21　問題のJSが削除される
　↓
07/21 8:25頃　AccessAnalyzer改竄についてのリリースが出る
07/21 16:25頃　VALUE DOMAIN改竄についてのリリースが出る

不正なJSのコード

マルウェア分析サイトによるVDログインページの詳細

http://wepawet.cs.ucsb.edu/view.php?hash=c060c4c4a3c128706441effa96466c15&t=1246871592&type=js

不正コードVDログインページの魚拓

http://s03.megalodon.jp/2009-0706-1843-51/https://www.value-domain.com/login.php

※注意　この魚拓は不正なコードが仕組まれたままアクセス可能となっています。
アクセスする場合は必ずJavaScriptをOFFにしてください。

現在改竄されているページ

※注意　現在アクセスアナライザにウイルスを配布する不正なJSコードが埋め込まれています。
　　　　実際にウイルスが置かれているサーバーは７月10日に凍結されたため、現状感染の恐れはありませんがアクセスには十分ご注意ください。

ttp://ax.xrea.com/support.php
ttp://ax.xrea.com/logout.php
ttp://ax.xrea.com/faq.php
ttp://ax.xrea.com/rules.php
ttp://ax.xrea.com/signup.php
ttp://ax.xrea.com/ (= ttp://ax.xrea.com/index.php)
ttp://ax.xrea.com/login.php

★ 感染予防

バリュドメ、アクアナのサイト全てにおいてリンクを踏まない
アクアナなどの解析スクリプトはすべて外す（二次被害防止にもなる
OS、ブラウザ、プラグインなどを最新版にする
セキュリティソフトも最新版に対応する（現にカスペルやノートンは反応して防いでくれている
VISTAの場合はユーザーアカウント制御をオン（デフォではオンになってる）にして意味不明なプログラムは実行させない
ルナスケやプニル、2chビューアの一部などIEをベースにしてるブラウザも警戒がいる
感染が疑わしくばネット切断の上でクリーンインスコ（リカバリ）推奨

ウイルスに感染する可能性のあった期間と環境

２ちゃんねるのスレにおける第一発見者の時系列から以下の通りになります。

･７月６日４時から７月６日24時の間に、WindowsXP＋IE6,7の環境でバリュードメインのログイン画面にアクセスした人が、ウイルスに感染している可能性があります。
･７月７日10時から７月10日15時の間に、WindowsXP＋IE6,7の環境でアクセスアナライザにアクセスした人が、ウイルスに感染している可能性があります。

■関連スレッド

■デジロック改竄問題に関するサイト

■配布されたウイルスに関するサイト

合計： 6371
今日： 112
昨日： 393

添付ファイル

code.gif

メニュー

リンク