こんにちわ！第七猫です！( ＾ω＾)
先月終わりから続いておりますテンプレ改竄からの、アカウントハックに関して
超個人的ではありますが、拙い脳をフル回転させて確認の意味を込めて
簡単なまとめ…というか概略を書いてみようと思います。
色々と情報が飛び交っていますが、まずはウイルス感染までのプロセスを
自分なりにまとめてみましたので、興味のある方はご一読下さい。
あくまで内容は現在（３／２５）までの物になります点、ご了承下さい。
これまでの経緯は以下のエントリーを参照下さい。
・ウイルス検出について【報告】 → 2008/3/1(14:24)
・ウイルス検出について【情報追記】 → 2008/3/5(20:16)
・ウイルス検出について【罠再び！】 → 2008/3/11(19:50)
・ウイルス検出について【罠、姿を変え】 → 2008/3/22(15:43)
■現時点で判明しているウイルス感染への流れ
まずは簡単に現在判明している、ＦＣ２ブログを中心としたウイルス感染への
フローチャートを以下にまとめて見ました。
かなり端折っていますが、要点だけ書くとこうなります。
では順を追って確認していきましょう(・∀・)ｂ
Ｑ：「ウイルス感染」と一口に言ってもどんな事が行われているの？
Ａ：ウイルスを感染させる為には、最短で２つのプロセスをクリアしなくてはいけません。
では、その２点とはどんなモノか？上のフローチャートを見てみましょう。
�≧�が仕込まれたアドレスにクライアント（閲覧者）がアクセスする事。
�▲▲�セスしてきたクライアント（閲覧者）がウイルスを実行する事
以上２点をクリアすると、「ウイルスに感染する」という事になります。
ごく一般的に考えると、怪しいアドレスを踏み、更にそこにある怪しいプログラムを
自発的に実行しなくてはウイルスに感染しない訳ですが…
色々な手口を使ってそれらの行為を、クライアント（閲覧者）の知らない内に実行させる
手段が存在しますヽ(´Д`；)ﾉｱｩｱ...
今回ＦＣ２ブログのテンプレ改竄で現時点までに判明している感染経路はＳＳの通り。
合計３種類の罠が存在しております。
・罠コメ・ＴＢにて罠アドレスへ誘導する （これは従来より注意発起されてきた物）
・＜iframe＞を利用 （インラインフレーム機能を利用し、強制的に別アドレスを読み込む）
・＜script＞を利用 （Javaスクリプトを利用し、強制的に別アドレスを読み込む）
まずは第一ステッポ( ＾ω＾)ｂ
●従来より注意されていた罠コメ・ＴＢ等への誘導は、手口としては単純な物で適当なコメントを
つけてアドレスを張り、興味を持った閲覧者のクリックを誘う物。
→ 怪しいコメント・アドレスを踏まない等の自衛が可能。
●新たに発生したテンプレ改竄からの＜iframe＞の利用。テンプレ改竄が可能という事から
発生した罠で、知らぬ間に罠アドレスを読み込ませる事が出来るという恐ろしい物。
→ ブラウザーのインラインフレーム機能ＯＦＦで対策可能。
●そして最近見受けられる様になった＜script＞の利用。こちらはJavaスクリプトという機能を
用いて別アドレスを読み込ませるという罠。
→ ブラウザーのJavaスクリプト機能ＯＦＦで対策可能。
上記３つのいずれかの手法を用いて、罠アドレスへと誘導できれば第一ステップ完了。
これでクライアント（閲覧者）は、犯人の罠が仕掛けられたアドレスへアクセスするハメに。
続いて第二ステッポ( ＾ω＾)ｖ
さて、折角自分の意図するアドレスにクライアントをおびき寄せた犯人は、自分が作成した
罠（ウイルス）をそのクライアントで実行させなければいけません！
しかしクライアントにソレを実行させる事はどちらかというとには大反対（笑
更に自動でプログラムを走らせてもブラウザーやＯＳの機能で罠の実行の
確認を促されたり、実行そのものが禁止されてしまいます(`･ω･´)
ここで犯人は、警告や実行を止めるソフトウエアのセキュリティーホールを突きます。
つまりプログラムの隙を突いて、警告を出させないよう、クライアントに気づかれない様に
目的のファイルを実行させようとしてきます。
今回の罠で見られたセキュリティホールへの攻撃の種類は以下３点。
（つまり利用されたソフトウェアの脆弱性）
・MS06-014 → Ｗｉｎｄｏｗｓ最新版で対策可能
・MS07-017 → Ｗｉｎｄｏｗｓ最新版で対策可能
・RealPlayer → 大穴が開いており、アンインストール必須
このような状態でした。
ｄｄａ３やｈｅｌｌｈと言ったアドレスへの誘導後は、全て上記の脆弱性を突いて
罠プログラムを実行させるという物だったようです。
ちなみに現在はfccja■comというアドレスへの誘導が見られます！
一連のFC2ハック犯としてはdda3■net→hellh■net→fccja■comと移っています
(それぞれ最終更新が19日、22日、24日)
上のＭＳ０６−０１４とＭＳ０７−０１７というのは、ＯＳの脆弱性であり対策としては
Ｗｉｎｄｏｗｓの最新バージョンへのアップデートをする事によって防ぐ事が可能(・∀・)ｂ
しかしRealPlayerのセキュリティーホールだけは、最新バージョンでも防がれておらず
この脆弱性を突かれた場合、対策手段がありませんでした。
（RealPlayerのアンインストールが必須）
しかし解析人さんからの報告（３／２５）を抜擢しますと…
＞今RealNetworksからRealPlayer11を拾ったところ
＞こっそり11.0.2になっていました。穴は塞がっています。
＞パッケージを解凍してファイルのタイムスタンプを見ると
＞14日以降に差し替えたものと思われます。
どうやら、３／１４にRealPlayerが更新されており、Ｖｅｒ．１１．０．２になっています。
そしてどうやら今回利用されていたセキュリティーホールは塞がれているとか！
Σ(￣ロ￣)おお！
つまり…
こうなりますね(・∀・)ｂ
これが現在発生しているＦＣ２ブログからのウイルス感染経緯一覧です。
この�（造咾豊△離廛蹈札垢�達成されてしまうと、ウイルスへの感染が見られる！
という事になります。
現在多くのＦＣ２ブログ様で、多彩な罠やアドレスへの誘導が見られますが内容は
全て上記の組み合わせ違いによって形成されています。
・� �iframe＞→��RealPlayer とか
・�◆�script＞→��MS06-014 とか…
つまり改竄されたブログを見た閲覧者が…
� �script＞や＜iframe＞機能をＯＦＦしておらず
�■廝蕋遑筍錚�ｓ最新バージョンになってない、もしくはRealPlayerがインストールされた
状態である。
という条件を満たすと、罠発動！という流れです((((ﾟДﾟ；))))ガクガクプルプル
（もちろん罠アドレスの内容によって、流れが異なります。）
上記内容はもちろん…
アンチウイルスソフトが機能しなかった場合！ですが。
つまり！
現在判明しているウイルスを防ぐには！
� �script＞並びに＜iframe＞機能をブラウザーでＯＦＦし、不審なアドレスは踏まない！
�■廝蕋遑筍錚�ｓとRealPlayerを最新版にアップデートする！
以上の対策を行う事によって未然に防ぐ事が可能です(`･ω･´)ｼｬｷｰﾝ
これが現在判明しているウイルス感染までのフローチャートです！
上記の対策を必ず行うようにしてください！
特に罠が多発する傾向にある週末に向けて�△鷲�須です！！
必ず実行されるよう、重ねてお願い申し上げます。
■じゃもう大丈夫なの？
Ｑ：上の対策を取れば今後はもう心配なし？
Ａ：いいえ、ケフィアでｓ（ｒｙ
ひとまず現時点把握されている罠を防ぐ事が出来ますが、今後どういった新しい手段が
出てくるか分かりません！((((ﾟДﾟ；))))ガクガクプルプル
上に挙げた手段はあくまで現時点！
今後、別のソフトウエアの脆弱性を突いてくる可能性もありますので要注意です。
必ずアンチウイルスソフトを導入し、最新版に保っておくようにしましょう！(・∀・)ｂ
他にもJavaやアクティブXといったソフトも狙われる可能性もありますし、ブラウザーへの
脆弱性を突く事も考えられます。十分注意してください！
ちなみにブラウザーの話で参考までにこんな物を。
３／１５〜３／２５の１０日間に掛けて、当ブログを見に来て頂いた皆様の使用している
ブラウザーの種類をアクセス解析で見た結果です！
国分「これを見てどう思った？」
犯人「罠仕掛けるなら…ＩＥです…」
どうでしょうか？
罠を仕掛ける犯人の立場で考えて、どのブラウザーへの攻撃を仕掛けますか？
答えは一目瞭然。
ＩＥへの脆弱性を見つければ…
単純に８２％以上の人への攻撃が可能なんです！
((((ﾟДﾟ；))))ガクガクプルプル
この事実を分かっておいて下さい。これだけ多くの方が利用しているブラウザー。
もちろん便利な事も多いでしょう。ただしその代償が付きまとう可能性が高い事を
考えてみられるのも良いと思います(・∀・)ｂ
■その他情報・対策
さて、現在某掲示板にてアカウントハックされた、もしくはテンプレ改竄された物の
ちょっと変わった内容の物が報告されています。
参考までに頭に入れておくと良いかもしれません。
・テンプレ改竄された後、知らぬ間に元通りにされていた。
→某有名ブログ様の管理人様からの報告です。
いつの間にかテンプレが改竄されて罠が仕込まれていたが、管理人が治す前に
仕掛けられた罠がなくなっていた！？という事。
テンプレ改竄の発見を遅らせる為なのか？もしくは別の意図があったのか？は
不明ですが、上記のような事も起こっているらしいです。
・ＰＯＬパスワードが知らぬ間に頻繁に変更されていた。
→ＰＯＬのパスワードって変更するとその履歴が見れるらしいのですが…
その履歴に、管理者が知らない間に多数変更の跡が見られたらしいです！
これもアカウントハックの発見を遅らせる事が目的なのでしょうか…
((((ﾟДﾟ；))))ガクガクプルプル
知らぬ間にＰＯＬパスワードが変更されまくり、いつの間にか元通りに…
想像するだけで身の毛もよだつ内容ですね…怖すぎます（´・ω・`）
つまりは！
今現在アカウントハックを受けていない！もしくはテンプレ改竄が見られないとしても
油断は禁物！という事ですね…ヽ(´Д`；)ﾉｱｩｱ...
特にＰＯＬの方は、ログインしてスグ「前回のログイン時間」が表示されますので
必ずその時間を確認し、自分が入っていた時間である事を確認するようにしましょう！
もし自分の入った時間以外でのログインが見られた場合は赤信号！
大至急ＰＯＬパスワードを変更し、ＰＣのウイルスチェックを行いましょうヽ(`Д´)ﾉ
あと、上記のログイン時間の確認も必須ですが…
ＰＯＬのパスワードは自動ログイン設定でＰＣに記憶させずに
必ず毎回手入力でのログインをするようにしましょう！
これも地味ですが効果は大きいんでは無いでしょうか？(・∀・)ｂ
第七猫は以前、テンプレ改竄が見られてからはずっと手入力でＰＯＬにログインするよう
設定を変更し、パスワードを変更しております。
新たに設定したＰＯＬパスワードをＰＣに覚えさせた事は無いです！
■最後に
取り合えずは、現時点での罠がどういった物なのか？を管理人：第七猫が個人的に
把握するという趣旨で、簡単ですがまとめてみました(；＾ω＾)
内容で、不適切な表現や解釈の違いがあるかも知れませんが、大目に見てやってください！
ご指摘あれば修正も致します！
こうやって内容を少しでも理解すると、なんとなくですが対策の重要性や危険への
認識が高まると思います。
概略だけかもしれませんが、アカウントハックへの手法を理解して頂ければ幸いです。
尚、このエントリー作成にあたり多大なる助言、情報を「解析人」さんより頂きました。
罠発見時からのコメントといい、重ねてお礼申し上げます。
まぁ…正直、殆どが解析人さんからの情報で第七猫は特に何もしてｎ（ｒｙ
(；＾ω＾)…
おいィ？お前ら何か聞こえたか？俺のログには何も無い訳だが（汗
先月終わりから続いておりますテンプレ改竄からの、アカウントハックに関して
超個人的ではありますが、拙い脳をフル回転させて確認の意味を込めて
簡単なまとめ…というか概略を書いてみようと思います。
色々と情報が飛び交っていますが、まずはウイルス感染までのプロセスを
自分なりにまとめてみましたので、興味のある方はご一読下さい。
あくまで内容は現在（３／２５）までの物になります点、ご了承下さい。
これまでの経緯は以下のエントリーを参照下さい。
・ウイルス検出について【報告】 → 2008/3/1(14:24)
・ウイルス検出について【情報追記】 → 2008/3/5(20:16)
・ウイルス検出について【罠再び！】 → 2008/3/11(19:50)
・ウイルス検出について【罠、姿を変え】 → 2008/3/22(15:43)
■現時点で判明しているウイルス感染への流れ
まずは簡単に現在判明している、ＦＣ２ブログを中心としたウイルス感染への
フローチャートを以下にまとめて見ました。
かなり端折っていますが、要点だけ書くとこうなります。
では順を追って確認していきましょう(・∀・)ｂ
Ｑ：「ウイルス感染」と一口に言ってもどんな事が行われているの？
Ａ：ウイルスを感染させる為には、最短で２つのプロセスをクリアしなくてはいけません。
では、その２点とはどんなモノか？上のフローチャートを見てみましょう。
�≧�が仕込まれたアドレスにクライアント（閲覧者）がアクセスする事。
�▲▲�セスしてきたクライアント（閲覧者）がウイルスを実行する事
以上２点をクリアすると、「ウイルスに感染する」という事になります。
ごく一般的に考えると、怪しいアドレスを踏み、更にそこにある怪しいプログラムを
自発的に実行しなくてはウイルスに感染しない訳ですが…
色々な手口を使ってそれらの行為を、クライアント（閲覧者）の知らない内に実行させる
手段が存在しますヽ(´Д`；)ﾉｱｩｱ...
今回ＦＣ２ブログのテンプレ改竄で現時点までに判明している感染経路はＳＳの通り。
合計３種類の罠が存在しております。
・罠コメ・ＴＢにて罠アドレスへ誘導する （これは従来より注意発起されてきた物）
・＜iframe＞を利用 （インラインフレーム機能を利用し、強制的に別アドレスを読み込む）
・＜script＞を利用 （Javaスクリプトを利用し、強制的に別アドレスを読み込む）
まずは第一ステッポ( ＾ω＾)ｂ
●従来より注意されていた罠コメ・ＴＢ等への誘導は、手口としては単純な物で適当なコメントを
つけてアドレスを張り、興味を持った閲覧者のクリックを誘う物。
→ 怪しいコメント・アドレスを踏まない等の自衛が可能。
●新たに発生したテンプレ改竄からの＜iframe＞の利用。テンプレ改竄が可能という事から
発生した罠で、知らぬ間に罠アドレスを読み込ませる事が出来るという恐ろしい物。
→ ブラウザーのインラインフレーム機能ＯＦＦで対策可能。
●そして最近見受けられる様になった＜script＞の利用。こちらはJavaスクリプトという機能を
用いて別アドレスを読み込ませるという罠。
→ ブラウザーのJavaスクリプト機能ＯＦＦで対策可能。
上記３つのいずれかの手法を用いて、罠アドレスへと誘導できれば第一ステップ完了。
これでクライアント（閲覧者）は、犯人の罠が仕掛けられたアドレスへアクセスするハメに。
続いて第二ステッポ( ＾ω＾)ｖ
さて、折角自分の意図するアドレスにクライアントをおびき寄せた犯人は、自分が作成した
罠（ウイルス）をそのクライアントで実行させなければいけません！
しかしクライアントにソレを実行させる事はどちらかというとには大反対（笑
更に自動でプログラムを走らせてもブラウザーやＯＳの機能で罠の実行の
確認を促されたり、実行そのものが禁止されてしまいます(`･ω･´)
ここで犯人は、警告や実行を止めるソフトウエアのセキュリティーホールを突きます。
つまりプログラムの隙を突いて、警告を出させないよう、クライアントに気づかれない様に
目的のファイルを実行させようとしてきます。
今回の罠で見られたセキュリティホールへの攻撃の種類は以下３点。
（つまり利用されたソフトウェアの脆弱性）
・MS06-014 → Ｗｉｎｄｏｗｓ最新版で対策可能
・MS07-017 → Ｗｉｎｄｏｗｓ最新版で対策可能
・RealPlayer → 大穴が開いており、アンインストール必須
このような状態でした。
ｄｄａ３やｈｅｌｌｈと言ったアドレスへの誘導後は、全て上記の脆弱性を突いて
罠プログラムを実行させるという物だったようです。
ちなみに現在はfccja■comというアドレスへの誘導が見られます！
一連のFC2ハック犯としてはdda3■net→hellh■net→fccja■comと移っています
(それぞれ最終更新が19日、22日、24日)
上のＭＳ０６−０１４とＭＳ０７−０１７というのは、ＯＳの脆弱性であり対策としては
Ｗｉｎｄｏｗｓの最新バージョンへのアップデートをする事によって防ぐ事が可能(・∀・)ｂ
しかしRealPlayerのセキュリティーホールだけは、最新バージョンでも防がれておらず
この脆弱性を突かれた場合、対策手段がありませんでした。
（RealPlayerのアンインストールが必須）
しかし解析人さんからの報告（３／２５）を抜擢しますと…
＞今RealNetworksからRealPlayer11を拾ったところ
＞こっそり11.0.2になっていました。穴は塞がっています。
＞パッケージを解凍してファイルのタイムスタンプを見ると
＞14日以降に差し替えたものと思われます。
どうやら、３／１４にRealPlayerが更新されており、Ｖｅｒ．１１．０．２になっています。
そしてどうやら今回利用されていたセキュリティーホールは塞がれているとか！
Σ(￣ロ￣)おお！
つまり…
こうなりますね(・∀・)ｂ
これが現在発生しているＦＣ２ブログからのウイルス感染経緯一覧です。
この�（造咾豊△離廛蹈札垢�達成されてしまうと、ウイルスへの感染が見られる！
という事になります。
現在多くのＦＣ２ブログ様で、多彩な罠やアドレスへの誘導が見られますが内容は
全て上記の組み合わせ違いによって形成されています。
・� �iframe＞→��RealPlayer とか
・�◆�script＞→��MS06-014 とか…
つまり改竄されたブログを見た閲覧者が…
� �script＞や＜iframe＞機能をＯＦＦしておらず
�■廝蕋遑筍錚�ｓ最新バージョンになってない、もしくはRealPlayerがインストールされた
状態である。
という条件を満たすと、罠発動！という流れです((((ﾟДﾟ；))))ガクガクプルプル
（もちろん罠アドレスの内容によって、流れが異なります。）
上記内容はもちろん…
アンチウイルスソフトが機能しなかった場合！ですが。
つまり！
現在判明しているウイルスを防ぐには！
� �script＞並びに＜iframe＞機能をブラウザーでＯＦＦし、不審なアドレスは踏まない！
�■廝蕋遑筍錚�ｓとRealPlayerを最新版にアップデートする！
以上の対策を行う事によって未然に防ぐ事が可能です(`･ω･´)ｼｬｷｰﾝ
これが現在判明しているウイルス感染までのフローチャートです！
上記の対策を必ず行うようにしてください！
特に罠が多発する傾向にある週末に向けて�△鷲�須です！！
必ず実行されるよう、重ねてお願い申し上げます。
■じゃもう大丈夫なの？
Ｑ：上の対策を取れば今後はもう心配なし？
Ａ：いいえ、ケフィアでｓ（ｒｙ
ひとまず現時点把握されている罠を防ぐ事が出来ますが、今後どういった新しい手段が
出てくるか分かりません！((((ﾟДﾟ；))))ガクガクプルプル
上に挙げた手段はあくまで現時点！
今後、別のソフトウエアの脆弱性を突いてくる可能性もありますので要注意です。
必ずアンチウイルスソフトを導入し、最新版に保っておくようにしましょう！(・∀・)ｂ
他にもJavaやアクティブXといったソフトも狙われる可能性もありますし、ブラウザーへの
脆弱性を突く事も考えられます。十分注意してください！
ちなみにブラウザーの話で参考までにこんな物を。
３／１５〜３／２５の１０日間に掛けて、当ブログを見に来て頂いた皆様の使用している
ブラウザーの種類をアクセス解析で見た結果です！
国分「これを見てどう思った？」
犯人「罠仕掛けるなら…ＩＥです…」
どうでしょうか？
罠を仕掛ける犯人の立場で考えて、どのブラウザーへの攻撃を仕掛けますか？
答えは一目瞭然。
ＩＥへの脆弱性を見つければ…
単純に８２％以上の人への攻撃が可能なんです！
((((ﾟДﾟ；))))ガクガクプルプル
この事実を分かっておいて下さい。これだけ多くの方が利用しているブラウザー。
もちろん便利な事も多いでしょう。ただしその代償が付きまとう可能性が高い事を
考えてみられるのも良いと思います(・∀・)ｂ
■その他情報・対策
さて、現在某掲示板にてアカウントハックされた、もしくはテンプレ改竄された物の
ちょっと変わった内容の物が報告されています。
参考までに頭に入れておくと良いかもしれません。
・テンプレ改竄された後、知らぬ間に元通りにされていた。
→某有名ブログ様の管理人様からの報告です。
いつの間にかテンプレが改竄されて罠が仕込まれていたが、管理人が治す前に
仕掛けられた罠がなくなっていた！？という事。
テンプレ改竄の発見を遅らせる為なのか？もしくは別の意図があったのか？は
不明ですが、上記のような事も起こっているらしいです。
・ＰＯＬパスワードが知らぬ間に頻繁に変更されていた。
→ＰＯＬのパスワードって変更するとその履歴が見れるらしいのですが…
その履歴に、管理者が知らない間に多数変更の跡が見られたらしいです！
これもアカウントハックの発見を遅らせる事が目的なのでしょうか…
((((ﾟДﾟ；))))ガクガクプルプル
知らぬ間にＰＯＬパスワードが変更されまくり、いつの間にか元通りに…
想像するだけで身の毛もよだつ内容ですね…怖すぎます（´・ω・`）
つまりは！
今現在アカウントハックを受けていない！もしくはテンプレ改竄が見られないとしても
油断は禁物！という事ですね…ヽ(´Д`；)ﾉｱｩｱ...
特にＰＯＬの方は、ログインしてスグ「前回のログイン時間」が表示されますので
必ずその時間を確認し、自分が入っていた時間である事を確認するようにしましょう！
もし自分の入った時間以外でのログインが見られた場合は赤信号！
大至急ＰＯＬパスワードを変更し、ＰＣのウイルスチェックを行いましょうヽ(`Д´)ﾉ
あと、上記のログイン時間の確認も必須ですが…
ＰＯＬのパスワードは自動ログイン設定でＰＣに記憶させずに
必ず毎回手入力でのログインをするようにしましょう！
これも地味ですが効果は大きいんでは無いでしょうか？(・∀・)ｂ
第七猫は以前、テンプレ改竄が見られてからはずっと手入力でＰＯＬにログインするよう
設定を変更し、パスワードを変更しております。
新たに設定したＰＯＬパスワードをＰＣに覚えさせた事は無いです！
■最後に
取り合えずは、現時点での罠がどういった物なのか？を管理人：第七猫が個人的に
把握するという趣旨で、簡単ですがまとめてみました(；＾ω＾)
内容で、不適切な表現や解釈の違いがあるかも知れませんが、大目に見てやってください！
ご指摘あれば修正も致します！
こうやって内容を少しでも理解すると、なんとなくですが対策の重要性や危険への
認識が高まると思います。
概略だけかもしれませんが、アカウントハックへの手法を理解して頂ければ幸いです。
尚、このエントリー作成にあたり多大なる助言、情報を「解析人」さんより頂きました。
罠発見時からのコメントといい、重ねてお礼申し上げます。
まぁ…正直、殆どが解析人さんからの情報で第七猫は特に何もしてｎ（ｒｙ
(；＾ω＾)…
おいィ？お前ら何か聞こえたか？俺のログには何も無い訳だが（汗
