１０月９日ごろに発生した、新種のPHPのウイルス 「Gumblar.x」「JSRedir-R」（通称、GENOウイルス）
について、おぼろげに全体像が見えてきました。
について、おぼろげに全体像が見えてきました。
４層構造になっている、とても巧妙な「ウイルスシステム」です。
サーバー管理者のマシンから、直接 FTPのパスワードがもれなくても、
社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られます。
社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られます。
現在この「ウイルスシステム」は、ネットワークの構築自体を目的にしているように見えます。
しかし、出来上がった「ウイルスネットワーク」に、システムの破壊であるとか、ファイルの盗み出しなどといった、新たな「目的」をもったコードを流通させると、「サイバーテロ」が起こせます。
平時に淡々と、ネットワークを作っておき、それは組織の内部に浸透していて、いざ、有事というときに、破壊コードを送り込まれたらと思うと、慄然といたします。
しかし、出来上がった「ウイルスネットワーク」に、システムの破壊であるとか、ファイルの盗み出しなどといった、新たな「目的」をもったコードを流通させると、「サイバーテロ」が起こせます。
平時に淡々と、ネットワークを作っておき、それは組織の内部に浸透していて、いざ、有事というときに、破壊コードを送り込まれたらと思うと、慄然といたします。
このエントリーでは、わかった部分について、報告いたします。
この「ウイルスシステム」（以下述べるように、３つのウイルスからなるので、あえて、”システム”と呼びます）は、４階層で成り立っています。それが相互に連携しながら作動しているため、連携したネットワークのことを、「ウイルスネットワーク」と呼ぶことにします。
●技術情報
http://blogs.yahoo.co.jp/noooo_spam/59020592.html
http://www3.atword.jp/gnome/2009/10/23/kaspersky-leave-it-to-me-the-gumblar-x/
http://blogs.yahoo.co.jp/noooo_spam/59020592.html
http://www3.atword.jp/gnome/2009/10/23/kaspersky-leave-it-to-me-the-gumblar-x/
１層目は、このウイルスシステムを作成し、ウイルス１・２・３を供給している「本当の親玉」です。まだ、この正体はわかっていないと思われます。もし、これが某国のサイバー戦部隊だったら・・・。
２層目は、ウイルス１に感染し、相互に連携している感染サーバー群「やられ１群」です。「やられ１群」は：
・後述する「やられ２群」にサーバー用のウイルス２を供給して「やられ２群」を増殖させる
・やられ２群から<script src=http ・・・ .php ></script>でリダイレクトされてきて、
クライアントPCに対してウイルス３を供給し「やられ３群」を増殖させる
クライアントPCに対してウイルス３を供給し「やられ３群」を増殖させる
機能を持っています。さらに、
・「やられ３群」から送られてくるFTPのアカウント情報を受け取る
・「やられ１群」同士はネットワークを組んでおり、乗っ取ったサーバーの
FTPアカウントの情報を共有していると思われる
FTPアカウントの情報を共有していると思われる
・「やられ１群」同士のネットワークを通じて、「本当の親玉」から
供給される最新のウイルスシステム自体を共有している可能性もありうる
「やられ１群」は、一見すると普通のホームページであり、おそらく、このサーバーを管理している管理者も気づかないように、バックグランドで上記の動作をさせられていると思われます。
供給される最新のウイルスシステム自体を共有している可能性もありうる
「やられ１群」は、一見すると普通のホームページであり、おそらく、このサーバーを管理している管理者も気づかないように、バックグランドで上記の動作をさせられていると思われます。
私の手元では
http://ndrelationship.com/
http://hd-select.com/
http://sepahan-e.com/
http://4355.yomiuri-yy.com/
http://nicolematernity.com/
http://incabrasil.org.br/
などが「やられ１群」であることがわかっています。
http://ndrelationship.com/
http://hd-select.com/
http://sepahan-e.com/
http://4355.yomiuri-yy.com/
http://nicolematernity.com/
http://incabrasil.org.br/
などが「やられ１群」であることがわかっています。
●技術情報
http://ilion.blog47.fc2.com/blog-entry-154.html
http://d.hatena.ne.jp/kaito834/20091025/1256437910
http://ilion.blog47.fc2.com/blog-entry-154.html
http://d.hatena.ne.jp/kaito834/20091025/1256437910
３層目は、ウイルス２に感染し、FTPを乗っ取られている感染サーバー群「やられ２群」です。「やられ２群」は：
・PHPスクリプトを利用しているWEBサーバー
・「やられ１群」からFTPを通じて、ウイルス２を送り込まれている
・php, html, htm, js, txt ファイルがウイルス２に感染している
・phpファイルの一部のみに「やられ１群」からウイルス２のコードが加えられる
その後、クライアントPCからのアクセスでウイルス２のコードが動き出し
サーバー内のWEB用フォルダ内全体にウイルス２が蔓延します。
その後、クライアントPCからのアクセスでウイルス２のコードが動き出し
サーバー内のWEB用フォルダ内全体にウイルス２が蔓延します。
・「やられ２群」の横のつながりはないようです。
「やられ２群」も、一見すると普通のホームページであり、正常に稼動しているように見える可能性もあります。CMSなど、PHPが重要な役割を果たしているサーバーでは、ウイルス２が多重に起動して、サーバーが落ち、発見に至ります。
●技術情報
http://kanariia.com/blog/archives/612
/posts/347.html
http://blogs.yahoo.co.jp/noooo_spam/59054571.html
http://kanariia.com/blog/archives/612
/posts/347.html
http://blogs.yahoo.co.jp/noooo_spam/59054571.html
４層目は、Windowsマシン（クライアントPC）用のウイルス３に感染したパソコン群「やられ３群」です。「やられ３群」は:
・Windows, InternetExplorer, Flash, Acrobatの脆弱性を修正していないパソコンです。
・そのパソコンが、「やられ２群」のホームページを閲覧することで、
「やられ２群」を経由して「やられ１群」から脆弱性に応じた
ウイルス３を送り込まれて感染します。
「やられ２群」を経由して「やられ１群」から脆弱性に応じた
ウイルス３を送り込まれて感染します。
・「やられ３群」は、別のクライアントに感染しないようです。
・トロイの木馬型で、ネットワーク内のトラフィックを監視します。
そして、ネットワーク内でFTPサーバーへのアクセスをした際に、
そのURL,アカウント,パスワードを盗み取り、「やられ１群」に通報します。
そして、ネットワーク内でFTPサーバーへのアクセスをした際に、
そのURL,アカウント,パスワードを盗み取り、「やられ１群」に通報します。
・パソコンの状態によっては、起動しなくなるという症状も報告されています。
「やられ３群」もまた、一見すると普通のパソコンであって、ちょっと処理が重いといったくらいでしかない可能性もあります。
以上のように、４層でなりたっており、しかもそれぞれのマシンの破壊を目的にせず、ウイルスネットワークの増殖自体を目的にしているようにも見えます。
「やられ１群」が「やられ３群」に感染させるコードは、暗号化されており、しかも、ダウンロードする毎に変数名などをランダムに変更するようです。さらに、さらに、その際に与える「やられ１群」のURLも、「やられ１群」の中からランダムに与えている可能性があります。その為、常にコードは変化します。ウイルス対策ソフトによって検出ができにくく工夫されています。
また、「やられ１群」「やられ２群」が大量に存在するため、すべての感染サーバーをリストアップすることも、非常に困難になっており、感染サーバーのリストでアクセスを遮断するタイプのウイルス対策ソフトでは対処できません。
ウイルスのコード自体も、複数のコードが複雑に組み合わされています。「やられ１群」用のウイルス１は、大掛かりなプログラムになっているものと思われます。逆に「やられ２群」用のウイルス２は、極めてシンプルであり、ウイルス２の多重動作によって、サーバーがダウンしない限り、気づきにくいコードです。「やられ３群」用のウイルス３は、Flash,PDF,EXEと脆弱性にあわせたコードが用意されています。
このように多層にくみあわされ、感染したマシンが連携して作動するネットワーク状の「ウイルスシステム」なのです。
Widowsマシン（クライアントPC）側からみた現象はこんなことです。
・身の回りにこのウイルス３に感染したWindowsがある（「やられ３群」）
・感染したWindowsにネットワークを監視され、FTPのパスワードが盗まれる
・管理しているサーバーに、このパスワードを使って侵入されてウイルス２をうつされる。
具体的には、phpファイルの冒頭が <?php eval(base64 ・・・と変更される
（「やられ２群」の誕生）
具体的には、phpファイルの冒頭が <?php eval(base64 ・・・と変更される
（「やられ２群」の誕生）
次に、このサーバー（ウイルス２に感染したサーバー）にアクセスすると、
・上記のphpファイルが作動して、gifimg.php の作成、
そのサーバー内の html, htm, php, jsファイルの書き換えがおこる
（「やられ２群」の出来あがり）
そのサーバー内の html, htm, php, jsファイルの書き換えがおこる
（「やられ２群」の出来あがり）
・このサーバーにWindowsマシン（クライアントPC)がアクセスすると、
ウイルス３を送り込まれて感染する
（「やられ３群」の誕生）
ウイルス３を送り込まれて感染する
（「やられ３群」の誕生）
・はじめに戻る
ということです。
これをぐるぐる回ると、「やられ２群」と「やられ３群」が無限に増殖してゆきます。
これをぐるぐる回ると、「やられ２群」と「やられ３群」が無限に増殖してゆきます。
大きな問題は、
サーバーを管理している人のマシンから、直接 FTPのパスワードがもれなくても、
社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られる可能性がある、
ということです。社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られる可能性がある、
対策はまだわかっていません。FTPサーバー・WEBサーバー・OSにセキュリティホールのあるサーバーが、「やられ１群」になっていると思われます。
「やられ２群」の対処策はこちら
私のブログが参考になったようで何よりです^^。
ウイルスシステム、興味深いです。Gumblar.x（Kaspersky呼称）に関する記事も色々と書かれ始めていますが、2009年4,5月頃のGumblarに比べると、詳細を特定するのが困難であるようです。うまやどさんが推測している、「ウイルスネットワーク」を構築するだけという可能性も高い気がします。