新種「Gumblar.x」PHPウイルス 11月4日再始動！

2009/11/05 12:40　|　コメント（2）

１０月９日ごろに発生した、新種のPHPのウイルス「Gumblar.x」（GENOウイルス）は、１０月２６日に沈静化したが、１１月４日感染を再開した。

このウイルスは全世界ですでに１００００のホームページが感染し、そのホームページを閲覧したパソコン（Windows）にも感染する。ウイルスの別名は、「Daonol」「TROJ_DELF.WQD」「Lando」と呼ばれている。先月の末ごろには、ＮＥＣ、富士通など、パソコンメーカーのサポート窓口がパンクした。

１０月２６日にウイルスが変化し、活動を終息したと見られたが、昨日、再びコードが変化し、活動を再開している。

　先月の10月26日あたりを境にナゾのメッセージを残して、稼動停止状態になっていた10月再来襲「Gumblar」（Gumblar.x）が今日11月4日付けで再始動しました。

　ウイルス本体を発動させるために悪用するソフトウェアの脆弱性は変わってないようなので、下の３点が事前対策となる感じです。
・Adobe Flash Plyerを最新版へ更新する
・Adobe Readerを最新版へ更新する
・Windows Update（Microsoft Update）を行う [自動更新を有効にしとく]

http://blogs.yahoo.co.jp/noooo_spam/59105097.html

●拙ブログの関連記事

・新種の「Gumblar」PHPウイルスがはやっています
　　/posts/343.html
・【警告】新種の「Gumblar」PHPウイルスの脅威
　　/posts/346.html
・新種の「Gumblar」PHPウイルスのコードについて
　　/posts/347.html
・新種「Gumblar」にホワイトナイトか内紛か、はたまたステルスか
　　/posts/348.html
・ウイルス対策って何か変な仕組み・・・
　　/posts/349.html
・ハロウィンを「パソコンの虫干しの日」に
　　/posts/351.html

　　サーバー管理者のマシンが直接感染しなくとも、
　　社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
　　サーバーを乗っ取られます。

警告

現在この「ウイルスシステム」は、ネットワークの構築自体を目的にしているように見えます。

しかし、出来上がった「ウイルスネットワーク」に、システムの破壊などの新たな「目的」のコードを流せば「サイバーテロ」を起こしえます。

●技術情報

・E M E R G E N C Y　Gumblar revenge（UnderForge of Luck)
　　http://www3.atword.jp/gnome/2009/11/05/nov-05-200/
・gumblar.x（FFXI(仮)）
　　http://ilion.blog47.fc2.com/blog-entry-157.html
・Gumblar（GENOウイルス）再来襲。11月4日再始動！（無題なブログ）
　　http://blogs.yahoo.co.jp/noooo_spam/59105097.html
・Gumblar.x への感染予防方法について考える（思い立ったら書く日記）
　　http://d.hatena.ne.jp/kaito834/20091103
・Cyber Clean Center(CCC)の「ボット駆除手順」
　　https://www.ccc.go.jp/flow/index.html

●無難なブログさんの関連記事

・「Gumblar」（GENOウイルス）の改ざん攻撃者に新たな動き [2009年10月]
　　http://blogs.yahoo.co.jp/noooo_spam/59011285.html
・｢Gumblar｣(GENOウイルス)再来襲。芸能事務所や財団法人のサイトが改ざん被害
　　http://blogs.yahoo.co.jp/noooo_spam/59020592.html
・｢Gumblar｣(GENOｳｲﾙｽ)再来襲。オンラインゲームサイト改ざん被害
　　http://blogs.yahoo.co.jp/noooo_spam/59029561.html
・「Gumblar」（GENOウイルス）再来襲。悪用される脆弱性
　　http://blogs.yahoo.co.jp/noooo_spam/59033315.html
・「Gumblar」（GENOウイルス）再来襲。カスペ警告。改ざん被害者も･･･
　　http://blogs.yahoo.co.jp/noooo_spam/59054571.html
・「Gumblar」（GENOウイルス）再来襲。真っ黒画面にマウスカーソルだけ!
　　http://blogs.yahoo.co.jp/noooo_spam/59058070.html
・「Gumblar」（GENOウイルス）再来襲。攻撃データ製造マシン？
　　http://blogs.yahoo.co.jp/noooo_spam/59067103.html
・「Gumblar」（GENOウイルス）再来襲。『iframes are EVIL! Hate Zeus!』
　　http://blogs.yahoo.co.jp/noooo_spam/59071480.html
・Gumblar（GENOウイルス）再来襲。11月4日再始動！
　　http://blogs.yahoo.co.jp/noooo_spam/59105097.html

●FFXI(仮)さんの関連記事

・gumblar・martuz
　　http://ilion.blog47.fc2.com/blog-entry-154.html
・gumblar自己中心派
　　http://ilion.blog47.fc2.com/blog-entry-155.html
・gumblar.x
　　http://ilion.blog47.fc2.com/blog-entry-157.html

●UnderForge of Luckさんの関連記事

傑作！当時の記事フレームにあった「傑作」ボタンの再現（見た目のみ）コメント（2）

コメント（2）

rob*sa*u さん　2009-11-12 10:04

Gumblar.xというウィルスのサーバ側のチェックプログラムです。
PC側の汚染は、各種ウィルスチェッカでできると思いますが、このウィルスはサーバに設置された各種HTML・javascript・PHPに寄生します。
このagc.phpはウィルスの駆除はしませんが、簡易チェックをするためのツールです。
汚染された可能性のあるファイルを検査して表示します。Gumblar.xが持つ特徴的な部分に対してチェックをしていますので、完全ではないかもしれませんが警告が出たら入れ替えるか疑ってみてください。

■設置方法
同梱ドキュメントを参考にしてください。

うまやど さん　2009-11-12 10:28

Viruslist.comに、記事がでました。

The Gumblar system
http://www.viruslist.com/en/weblog

どうも、
・The Owner （ウイルスシステムの製作者）
・Dispatcher （感染したPCが通報する先）
・Injector （FTPに侵入してくるマシン）
・Infector （やられ１群、PC用のexe置き場）
・Ridirector （やられ２群、scriptタグでやられ１群に飛ばす）
・Attached User （感染したPC）
の６階層でできているようです。

記事の中では「Why is Gumblar so widespread? The answer is quite simple: it's a fully automated system. It's a new generation of self-building botnets. 」とあり、「新世代の自己組織化力をもったボットネット」だと表現されています。

日	月	火	水	木	金	土
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30	31