ページの本文へ

Hitachi
デジタルデジタル お問い合わせお問い合わせ

HIRT-PUB10001： Gumblar感染拡大に関する注意喚起

更新日：2010年8月23日

状況

2009年12月下旬から「Gumblar、Martuz、Geno、JSRedir-R」と類似した攻撃手法を用いてWebサイト改ざんを行なうマルウェア、いわゆるGumblarの感染活動が再度拡大しています。

1.1　 2009年4月〜6月

Gumblarの感染活動により、国内Webサイトのホームページ改ざんが多数発生しました。セキュアブレインの報告によれば、数時間の調査で400件以上の国内Webサイトにおいて改ざんを確認したとされています(2009年6月12日)[4]。

1.2　 2009年10月〜11月

Gumblarに感染したパソコンでは、電源を入れても正常に起動せず、画面が真っ暗になり、マウスポインターだけが表示されるなどの症状が発生しました。また、カスペルスキーの報告によれば、10月14日から11月16日までの間に、1,250以上の国内Webサイトにおいて改ざんを確認したとされています[8]。

1.3 　2009年12月

Gumblarの感染活動の拡大に伴い、国内大手Webサイトにおいても、意図しないJavaScriptを埋め込まれるホームページ改ざんが多数発生しています。

報告されているGumblarの感染活動の概要は、図1の通りです。

  1. 不正なスクリプトが埋め込まれた誘導Webサイト上にアクセスしたＡさんを、マルウェアが仕掛けられた攻撃Webサイトに誘導します。
  2. 誘導された攻撃Webサイトでは、プログラムの脆弱性を悪用してパソコンをマルウェア、いわゆるGumblarに感染させた後、
  3. FTPアカウント情報を攻撃者に送付します。
  4. 攻撃者は、FTPアカウント情報を使って、Ａさんの管理するWebサイトのホームページに不正なスクリプトを埋め込み、
  5. 新たな誘導Webサイトを作成します。
  6. これら誘導Webサイトにアクセスした一般利用者はＡさんと同じ道を辿ることになり、感染活動がさらに拡大することになります。

図1：マルウェアへの感染からWebサイトの改ざんまでの流れ
図1：マルウェアへの感染からWebサイトの改ざんまでの流れ

Webサイトへの影響

不正なスクリプトを埋め込まれてしまうなどのホームページ改ざんが発生する可能性があります。また、このホームページ改ざんにより、誘導Webサイト化されてしまった場合には、Gumblarの感染活動拡大に加担してしまうことになります。

Webサイト閲覧者（パソコン）への影響

改ざんされたWebサイトにアクセスした場合、攻撃Webサイトに誘導され、マルウェアに感染する可能性があります。また、感染してしまった場合には、FTPアカウントなどの情報が盗み取られてしまう可能性があります。

1.4 　2010年

Gumblarの感染活動が多様になっており、継続した注意が必要です[11]。

攻撃Webサイトへの誘導について(図1の①)

攻撃サイトへの誘導方法として、難読化された不正なJavaScriptコードによる誘導だけではなく、Apacheの設定ファイルを悪用した誘導についても報告されています。

脆弱性の悪用について（図1の②）

パソコンをマルウェア(いわゆるGumblar)に感染させるために、2010年6月に発見された、「Windowsのヘルプとサポートセンター機能に関する脆弱性(マイクロソフト セキュリティ情報MS10-042)」が悪用されていると報告されています。

攻撃活動について（図1の③）

パソコンがマルウェア(いわゆるGumblar)に感染した場合、DoS(サービス不能)攻撃に加担する危険性について報告されています。

2 対策

2.1 　Webサイトでの対策

Webサイトのホームページ改ざんには、SQLインジェクションなどのWebサイトで提供しているWebアプリケーションの脆弱性を利用する場合や、いわゆるGumblarが抜き取ったFTPアカウント情報を利用する場合などがあります。Webサイトでは、Webアプリケーションのセキュリティ問題の除去、セキュリティ更新プログラムの適用、最新の状態のマルウェア対策ソフトウェアの利用に加えて、次の点からセキュリティ対策状況を確認してください。

（1）リモート保守環境

自分がアクセスしていない日時にアクセスが行われていないかを確認すると共に、アカウントのパスワードを変更してください。また、パスワードを変更しても再度侵入される事例も報告されていますので、FTPを利用している場合には、リモート保守を許可するパソコンのIPアドレス制限を検討してください。

（2）ページの改ざん有無確認

見知らぬJavaScriptやiframeが存在しないこと、見知らぬドメイン／IPアドレスを参照するJavaScriptやiframeが存在しないことを確認してください（図2）。

図2：不正なスクリプトの埋め込みの事例
図2：不正なスクリプトの埋め込みの事例
（※ ここに挙げる例は、 代表的な改ざん事例のひとつであり他のパターンもありますのでご注意ください）

2.2 パソコンでの対策

(1) セキュリティ更新プログラムの適用状況を確認する。

JVN(Japan Vulnerability Notes)の「MyJVNバージョンチェッカ」を利用してWebサイト改ざんを行なうマルウェアに悪用されやすいプログラムのバージョンを確認してください。

バージョンをチェックする(MyJVNバージョンチェッカのページへ）
新規ウィンドウを表示します(JVNのサイトへ）

(2) セキュリティ更新プログラムを適用する。

「MyJVNバージョンチェッカ」で「×最新のバージョンではありません」と表示された場合は、下記を参考にバージョンアップを行ってください。その際、「MyJVNバージョンチェッカ」でサポートされていないプログラム(Webサイト改ざんを行なうマルウェアに悪用されやすいプログラム)についても更新を行なってください。

Adobe Flash Player(ActiveX)Internet Explorerの場合

  1. Adobe Flash Playerのダウンロードサイトにアクセス
  2. 既にマルウェア対策ソフトウェアをインストールしている場合には、同時にインストール「無料のMcAfee Security Scan (オプション)」のチェックを外す
  3. 「今すぐインストール」ボタンをクリックし、案内に従いインストール

Adobe Flash Player(Plug-in)その他のブラウザの場合

  1. Adobe Flash Playerのダウンロードサイトにアクセス
  2. 「オペレーティングシステムまたはブラウザの変更」をクリック
  3. プルダウンメニューから「Windows 7/Vista/XP/2008/2003/2000」を選択し「続ける」ボタンをクリック
  4. 「Flash Player 10 for Windows - Other Browsers」を選択
  5. 既にマルウェア対策ソフトウェアをインストールしている場合には、同時にインストール「無料のMcAfee Security Scan (オプション)」のチェックを外す
  6. 「今すぐインストール」ボタンをクリック
  7. 「こちらをクリックしてダウンロードしてください」をクリックしデスクトップに保存
  8. デスクトップにダウンロードした「install_flash_player.exe」をダブルクリックし案内に従いインストール

Adobe Acrobat Reader

  1. [スタート]−[全てのプログラム]から「Adobe Acrobat Reader」を起動
  2. [ヘルプ]−[アップデートの有無をチェック]し、その後は案内に従いバージョンアップ

JRE (Java)

  1. [スタート]−[コントロールパネル]
  2. 画面左上の「クラシック表示に切り替える」をクリック
  3. 「Java」アイコンをダブルクリックし、「アップデート」タブをクリック
  4. 「今すぐアップデート」ボタンをクリックし、案内に従いインストール

Quick Time

  1. QuickTimeのダウンロードサイトにアクセス
  2. 「ダウンロード開始」ボタンをクリックしデスクトップに保存
  3. 保存した「QuickTimeInstaller.exe」をダブルクリックし、案内に従いインストール

Adobe Shockwave Player

  1. Adobe Shockwave Playerのダウンロードサイトにアクセス
  2. 「今すぐインストール」ボタンをクリック
  3. 既にマルウェア対策ソフトウェアをインストールしている場合には、同時にインストール「Norton Security Scan を含める」のチェックを外す
  4. 「次へ」ボタンをクリックし、案内に従いインストール

Microsoft Office

  1. Microsoft Updateのサイトにアクセス
  2. 案内に従いインストール

Microsoft Windows

  1. Microsoft Updateのサイトにアクセス
  2. 案内に従いインストール

更新が終了したら、再度「MyJVNバージョンチェッカ」を利用してバージョンの確認をしましょう。

再度バージョンをチェックする(MyJVNバージョンチェッカのページへ）
新規ウィンドウを表示します(JVNのサイトへ）

(3)　信頼できる、最新の状態のマルウェア対策ソフトウェアを使用する

マルウェア対策ソフトウェアがインストールされていること、定義ファイルの自動更新が設定されていること、定義ファイルが最新であることを確認してください。すぐにマルウェア対策ソフトウェアを用意できない場合は、無料で利用できるオンラインスキャンサービスの利用を検討してください。

3　関連情報

3.1　関連組織からの注意喚起

3.2　感染活動に関する情報

2009年4月〜6月

2009年10月〜11月

2009年12月

2010年

更新履歴

2010年8月23日
  • 2010年の状況を追記しました。
2010年1月12日
  • このページを新規作成および公開しました。

寺田、大西／HIRT

グローバルサイン：
重要な電子文書にデジタル署名。広報にも役立っています

関連リンク