UnderForge of Lack

ちょっとまだ確認ができていませんが

１行削除 ++ 会社名 ++

hxxp://www.geno-web.jp/

がウィルス汚染されているかもしれない？という報告が上がっています。
まずは、不用意にアクセスしないように注意してください。

PDF / Flash を使った攻撃の可能性があります。


詳細は追って

------------------------------
確定した情報ではありませんので誤報の可能性もありますが・・・・

AJax用の jQueryライブラリが改竄され、不正規なURLアクセスによってファイルがダウンロードされた可能性があります。

アクセス先：
hxxp://94.247.2.195/news/?id=2
(Document write PDF)

Aguse先生：サイト 94.247.2.195 の調査結果
非営利団体SPAMHAUSプロジェクトによるIPアドレスベースの送信者ブラックリスト [CAUTION]

Trace -- 94.247.2.195

CIDR: 94.0.0.0/8
全ブロックするにはちょっと範囲が広すぎる・・・

inetnum: 94.247.2.0 - 94.247.3.255
netname: ZLKON
descr: ZlKon
country: LV (ラトビア)
コノヘンで手を打ちましょうか（笑）

-----------------------------------
Google先生に訊くと？

MALWARE DOMAIN LIST
に入ってるので、かなり赤いです。


Black Hat SEO and Rogue Antivirus p.5
ここにかなり詳細に書かれていますが

Adobe PDF脆弱性攻撃やら、オーバーフロー攻撃やら、PE型マルウェアダウンロードやら、いろいろヤバそうです。

jQuery改竄についても解説がありますので、AJaxに詳しい人は目を通しておくといいかもしれません。


現況（複数のファイル群の１個）：
dropper.bin -- 1d62a21e2d52467b78152e52c0359199

This entry was posted on 日曜日, 4 月 5th, 2009 at 11:09 AM and is filed under RiskHedge, security. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.