webサイト改ざんがまた、再燃しているようです。サイト管理者としての3S...■昨年猛威を振るった、Gumblarウィルスに似た、8080系によるwebサイト改ざんがまた、再燃しているようです。画像はkasperskyサイトより■サイト管理者としての3STEPは以下になると思います。サイトの更新ができるコンピュータを制限する。サイトで公開しているコンテンツに不正なプログラムが含まれていないこと、を確認。コンテンツが改ざんされていないことを確認する。タグが挿入されています。サーバのログを確認し、アクセス元IPアドレス、アクセス日時などに不審な点がないか確認する。サイトの更新ができるコンピュータがマルウエアに感染していないか確認する。サイトの管理を外部に委託している場合は、委託先のコンピュータがマルウエアに感染していないかなど、委託先に確認の依頼を行う。■クライアント側の確認1)FFFTPはアンインストール今までお世話になった感謝をしつつ、作者様の指示に習い、一旦アンインストール。(有志の方が改良版をリリースされていますが、ここではFTP送信時のリスクを考慮して様子見とします。)にMEMOしてあるか、確認しておくこと。念のため、運用時には変更しておくこと。2)セキュリティソフトの対応が追いついていないケースがありますので、セキュリティソフトをインストールしているから、大丈夫、という過信にご注意ください。次の、3)の予防対策が必要です。レジストリエディタ起動[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]の“sysgif32′′=”C:\WINDOWS\TEMP\~TMD.tmp”“~TM6.tmp”=”C:\WINDOWS\TEMP\~TM6.tmp”等の登録があれば感染済[感染後の削除方法]サイト管理者の場合、OSのクリーンインストール後にサイトへのアクセス・パスワード変更をお薦めします。メニュープログラムsiszyd32.exe3)以下の更新作業を実行してください。最新に更新した場合、未対応のアプリが動かない可能性があります。Readerを最新版に更新http://www.adobe.com/jp/products/acrobat/readstep2.html■5:ウイルス対策ソフトの定義ファイルを最新の状態に更新する。現状、カスペルスキーの対応が最速だが、過信には注意ください。レジストリ等にパスワードを保存するタイプはすべて対象なので、FFFTPを利用していなくても上記の3)の作業は必須になります。※FFFTPだけでなく、Dreamweaverなども可能性があります。4)FFFTPが、直接狙われている可能性もある、とFFFTPの作者さまのサイトに記載がありますので、一旦、1)でアンインストールしました。シェアウェアを、暫定的にパスワードを保存しない方法で利用して、FTPS環境への乗り換えを検討が必要かと思います。(これらのツールが、今回の攻撃に対して、安全ということではありません。「パスワードを保存せずに、FTPSで接続できる環境」へ移行するまでの、暫定的な対処法です。各クライアント側でパスワードの保存方法が改善されるのを待つか。)(2010/01/31現在)2:利用クライアントについて■FFFTPについてFFFTPを特定して攻撃しているという情報「も」あり(2010/01/31現在)、FFFTPの作者がアンインストールを推奨されています。今後、それ自体を見直す必要があるかもしれませんがそれまでは、まずは、下記の対応になると思います。レジストリなどにパスワードを保存しているFTPツールであれば感染すれば、webサイト改ざんの可能性があります。可能な限り、FTPSで接続できるクライアントを利用して、かつ、パスワードは保存せず、パスワード管理ツールなどを活用してアクセスする必要があります。通信中に悪意のあるプログラムに傍受される可能性がありますので、また、キーロガー的な振る舞いをされることも想定すると、完全とはいえません。本来、サーバへのIP制限や、FTPSやSSH接続が必要ですが、SSHポートは開放しない、など、サーバ会社によって様々なので、セキュリティご担当者やサーバ会社さまと相談されてみてください。いずれにせよ、以下の3)の手順でしっかりと予防をおこなう必要があります。■一般ユーザやサイト管理を外注している場合についてさらに、上記のソフトを利用していない一般ユーザも、注意が必要ですので、以下ご確認ください。自社サイトを外部の制作会社に依頼されている場合も、下記のチェックが必要です。(詳細については、セキュリティご担当者にご確認ください。インストールされているソフトウエアを常に最新の状態に維持することに、一層注意を払ってください。JPCERTのメーリングリストで最新情報を取得3:接続方法の検討パスワードを保存しない、FTPSクライアントを利用。FTPSや、認証キーなどを利用。ファイルなどは完全に削除サーバ側で、IP制限を設ける(鍵方式の認証はDWの場合、ハードルが高そう)などの方法が考えられると思います。このあたりは、くどくて申し訳ないのですが、いろいろと情報が錯綜していますので、ひとつのガイドライン程度になれば、と投稿しています。ポリシーや、ビジネススピード、規模などから「これ」という正解はでないと思います。最終的に方法を決めていただくのが、最良の方法と思います。<謝辞>本記事作成にあたり、情報、アドバイスをいただいた皆様に感謝いたします。Lists-http://www.securityfocus.com/archiveガンブラーウイルスについての誤った情報にご注意ください。8080系ウイルスについてGumblar系とは似ていますが、厳密には別種で、埋め込むスクリプトが異なります。おおまかな感染経路はGumblarと似ています。呼ぶのは日本のみです。viewsfacebookリンク広告に強力クリック要素「詳しくはこちら」ボタン登場!ムダなクリック課金を節約。viewsついにfacebook広告にリマーケティング(リターゲティング)機能が一般公開。スマフォ・PC両方使いのユーザにも対応。