垢ハック関係 僕メモ（08年7月13日）

今週末も被害があるみたいで。

それでも被害者の中の有志たちが

ハック状態にもかかわらず、懸命に追跡してくれた結果、

親玉ではないにしても、悪さをするもののシッポを

つかまえたようで、ウィルストータルなるものに

アップした後、一部ウィルス対策会社では

パッチを作成したそうです。

これで収束に向かえばいいのですが。

下は流れが速いので僕メモ。

僕は使ってませんが、ＪＡＶＡも脆弱性が見つかったそうで

まだ悪用されてませんが、使っている方は更新を。

551 ：既にその名前は使われています：2008/07/13(日) 20:10:57
Adobe Flash Playerの脆弱性および　XREA広告サーバハッキング問題まとめ　より抜粋。
ttp://www.geocities.jp/pehchunpm/mondai_XREA_.htm

プロセス

1. ウイルスに感染した広告画像・swfファイルの設置されたWebページにアクセス
2. 感染広告に仕込まれたJavascriptによりi115[1].swf呼び出し
3. Flashplayer未更新の場合、swfはトロイの木馬として実行され
4. 最終的にtaa.gif（中身はウィルス）をDL、インストール

ウィルス感染のプロセスで保存・生成されるファイル

* i115[1].swf（不正コードより呼び出しトロイの木馬として活動）
* taa.gif（偽装ファイル、orz.exeに展開）
* orz.exe（実行ファイル）
* sonb32drv.dll（拡散ファイル）

583 ：既にその名前は使われています：2008/07/13(日) 21:31:43
（正）★wuauserv.dllがwzcsvbxm.dllに改ざんされていた件　暫定まとめ (推敲よろしゅー)

wuauserv.dll(ウィンドウスアップデートに使われるダイナミックリンクライブラリ)のレジストリを、正規のプロセスC:\WINDOWS\System32\svchost.exeを使って罠サイトへパスを送るwzcsvbxm.dllに書き換える。
ファイルからではなくプロセスをフックしてメモリからパスを送信。送信経路はhttp。
(レジストリの不正更新もあるにもかかわらず)ほとんどのセキュリティソフトは未検知。
7/13付けで検体爆撃済み　かたじけのうござる。
本体(生成元)および感染ルートは現状不明。

判明している送信先(置き換えではなく●を単純に削る)
引退：wowint●erfcae.com 204.13.6●4.0 - 204.13.71.255
現役：googlesy●dition.com 74.86.1●85.101

【%SystemRoot%\System32\wzcsvbxm.dllを探す方法。】
dosから「regiedit」を実行して
C:\WINDOWS\system32\wuauserv.dllHKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wuauserv\Parametersの中の「ServiceDll」→「REG_EXPAND_SZ(種類)」の「データ」を確認
wuauserv.dllならそのままクローズ(この件の感染はしていない)
wzcsvbxm.dllの場合　まず安全な環境でパス変更　wzcsvbxm.dllをwuauserv.dllに書き換えられるなら書き換え
ただし　すぐに戻ってしまう報告もあるため　修正後要確認(セーフモード　オフラインで修正して　その後セキュリティソフトで変更の監視をかけてもだめかな？)
レジストリの書き換えその他自信がない場合はクリーンインストール推奨。
(先生方　こんな感じでいかがでしょうか)