UnderForge of Lack

平成スタートの日 1989年、昭和天皇の崩御、皇太子明仁親王の皇位継承
当時、故小渕恵三総理が掲げた「平成」の額を記憶している人は多いかな
外国郵便の日 1875年、日本初の郵便条約がアメリカと結ばれた。
正月事納め (正月の終わり)
3学期の始業式 でも明日から3連休（笑）

----------
坂道を転がり落ちるように
Pre-Notification - Quarterly Security Update for Adobe Reader and Acrobat
the upcoming Adobe Reader and Acrobat updates scheduled for January 12, 2010.
と、Adobeがのんびりパッチを作成している間に事態はどんどん悪化しています。

Static analysis of malicious PDFs
While we are still waiting for the patch and the malicious PDFs which exploit CVE-2009-4324 become more and more nasty
このMalformed PDF はペイロードを自分自身の中からドロップするため、バッファオーバーランの後にShellcodeでwgetする必要がありません。

Backdoor:Win32/Poison.A [Microsoft]
not-a-virus:RemoteAdmin.Win32.PoisonIvy.20 [Kaspersky Lab]
いや・・notじゃないとおもう・・

接続先：
cecon・flower-show・org as 202.150.213.12
NEWMEDIAEXPRESS 過去暦のあまりないASなので注意が必要です（

PART2:
Static analysis of malicous PDFs (Part #2)
PDFのMalcodeのチェックはWepawetを使うことが多いのですが、今回のタイプは検出できません。
But given that more and more users no longer reboot their PC, and just basically put it into sleep mode between uses, the bad guys do not really need to strive for a persistent (on-disk) infection anymore.
多くのAVは再起動しないと挙動検知できず、一般ユーザの多くがあまり再起動せず（Sleepで）恒常的に電源が入った状態で使用しています。
この問題解決の方法はあるのでしょうか？


IDApro Disassemblerを使った検証：
PDF file loader to extract and analyse shellcode

Unpatched Adobe Vulnerability Is Still Being Exploited in the Wild
TROJ_PIDIEF.WIA :solution
Step 3: Disable JavaScript for Acrobat and Adobe Reader
Detectしても実行阻害できてないような？

----------
セキュリティ･ベンダーの名称不統一問題
一般紙やメディアが 8080系と Gumblarを混同してるのは、この際ショウガナイのかもしれませんが、セキュベンダーがコレでいいんでしょうかね？

急増するサイト改ざんとGumblar感染、対策の速やかな実施を
HTMLファイルや外部.js（JavaScript）ファイルに「/*GNU GPL*/ try」や「＜script＞／＊CODE1＊／try」（＜、＊、／は半角）といった不審な文字列が追記されていないかを確認する
ふむふむ・・

TSPY_KATES.SMOD
67.215.238.194
マテ・・・
こっちは確かに Gumblar.x ですが・・・
トレンドマイクロが2009年の不正プログラム動向を総括
トレンドマイクロは1月7日、不正プログラムの傾向と対策をテーマとした報道向けセミナーを開催した。
（中略）
これに対して同社は、まずFTP接続時の認証を強化し、電子証明書など、ベーシック認証以外の手段を採用することを対策として挙げた。ただ、「こうした手段が浸透すれば、今後は証明書を盗み出そうとするウイルスが登場するだろう。そう考えると認証の強化は、一時的な対策にしかならない。より根本的には、アクセスコントロールを確実に行うことが必要だと考えている」（同氏）。もちろん、Webアプリケーションの脆弱性を修正するなど、それ以外にも対策を取るべき項目は多いという。
もうぐちゃぐちゃ・・・

「電子証明書を使ったFTP認証」って、要はFTPSの話なんでしょうか？ 証明書を盗むとかイミフメイすぎます。そもそも、Gumblarも8080(QuickSilver)もFTPクライアントのコンフィギュレーションファイルを盗む機能が指摘されているので、SSL Certなんか見向きもしないと思います。また、アクセスコントロールは定められたIPアドレスのみしか Uploadを許さないって話であって、そんなものサーバーを自社運用しているWeb系会社はどこでもやってると思っていたのですが、私の認識と世間一般はひょっとしたらかなり乖離しているのかもしれません。

別記事：
「ガンブラー被害を食い止めるには？」---トレンドマイクロが不正プログラム動向を報告

新ウイルス Gumblar（ガンブラー/別名 GENO）にご注意ください -- 2010.01.05更新
コレなんか、Kasperskyが意図的にやってるのか、浮川夫妻のいなくなった Justの暴走なのか知りませんが、意図的なミスリードであり、少なくともセキュ会社がやっていいことじゃない気がします。
※本家Kasperskyを弁護しておきますが、Gumblar.xに関する最大のエキスパートは間違いなく Kasperskyです。
The Gumblar system

Nortonは今回は沈黙するしかなさそうですね（苦笑）
そろそろブログパーツはやめた方がいいんじゃね？


今回の Gumblar.x, 8080の台頭は、どうみても AdobeやJavaの脆弱性放置が原因であって、もっというならバッファランした後デフォルトでDEPを有効にできない Windows XP あたりの根源的問題だと思っています。


Windows7を安く提供すればいいだけなんじゃない？ > バルマー先生


更に続く
----------
再掲：
急増するサイト改ざんとGumblar感染、対策の速やかな実施を
HTMLファイルや外部.js（JavaScript）ファイルに「/*GNU GPL*/ try」や「＜script＞／＊CODE1＊／try」（＜、＊、／は半角）といった不審な文字列が追記されていないかを確認する

は

/*LGPL*/
に変更されています（苦笑）

今日のラウンドロビン：
themobilewindow・ru. 424 IN A 62.75.218.192 PLUSSERVER themobilewindow・ru. 424 IN A 91.121.49.129
themobilewindow・ru. 424 IN A 91.121.142.111
themobilewindow・ru. 424 IN A 94.23.14.110
themobilewindow・ru. 424 IN A 94.23.206.229
下の４つは調べるまでも無く OVH(AS16276) ですね（苦笑）

----------
もうそんな時期
Microsoft Security Bulletin Advance Notification for January 2010
January 12, 2010
Critical 1 のみ

Microsoft planning quiet Patch Tuesday this month
静かです・・・

というかAdobeの日と一緒ですから、そっちのほうが重要です。

----------
PowerDNS

1und1で採用されていることで微妙に有名な PowerDNSですが・・・

Critical security update for PowerDNS Recursor
PowerDNS Recursor Spoofing and Buffer Overflow Vulnerabilities 4
Update to version 3.1.7.2.

セキュリティホールの多かった BINDから乗り換えということで喧伝されてきた PowerDNSも、DNSSECの本格導入を前に躓いてしまいました。
がんばれ！　逆境に負けるな～！

第1回　RDBMSが使えるPowerDNS

----------
Googleスパイウェア！？の翻訳
Researcher exposes Google spyware connections
昨日ナナメ読みして投げた記事の翻訳：
グーグル、スパイウェアプログラムメーカーWhenUを断ち切れず--研究者が明らかに

なんだ・・ポップアップが嫌い（二重課金）なだけの話だったのか・・
Edelman also called on the search marketing giant to pay restitution to affected advertisers.
とかかかれてたので大事なのかと思ってしまいました。

----------
Juniper JUNOS
大型ネットワーク機器のもう一方の雄、Juniper(JUNOS)にもなにやら暗雲が・・・
Juniper routers may crash on certain malformed packets
Juniper JUNOS routers can be crashed or made to reboot with easily spoofed malformed packets.

IOS(Cisco)が落ち着いてきたかと思えば・・・

JUNOS (Juniper) Flaw Exposes Core Routers to Kernel Crash
JUNOSは触ったことすら無いので詳細はなんとも・・
Affected Devices がかなり多いです。

参考：
勝者はどっち！？ 激闘！ シスコ IOS×ジュニパー JUNOS スイッチ／ルータは搭載OSで比較せよ！

----------
時間切れ：その他

2010年は「サービスとしての犯罪（CaaS）」が本格化--フォーティネット脅威予測
参照：
CaaS、MaaS


Western Union を騙るスパム ２
westernunion.comの偽サイト -- Jan 07

そういえば、そろそろ
Open season on tax-payers
USのTax Seasonでまた増えそうです

Rootkit:
Some Observations on Rootkits
Win32/Rustock
かなり古いタイプのものですね。
Gumblar/Daonal/KATESなんかも挙動的にはrootkitsにあたると思うのですが、まだまだ正確な解析が出てきません。

チェックしておきたいぜい弱性情報＜2010.01.07＞

［CG］iFixItがNexus Oneを恒例のバラシ
もう解体ですか・・・

----------

：最近またドクが強くなってきたといわれてちょっと反省：

----------
| 1262894414 | B | [goog-black-hash 1.48311 update]
| 1262894402 | M | [goog-malware-hash 1.18473 update]
| 307344 | -1091(308435) さらに漸減中
| 1212467 |
EoF

え？　マジだったのコレ（笑）
ブログパーツ改ざんに関する報告とお詫び
弊社「Ameba」にて提供しているブログパーツにおいて、外注先が運営管理するサーバーに改ざんが確認され、当該期間に改ざんされたブログパーツを閲覧された方に、ウィルス感染の可能性があることが弊社の社内調査で判明いたしました。

「Norton Police City in Ameba」容疑者捜査ブログパーツ　該当のブログパーツは1月6日より利用停止としております。（「Norton Police City in Ameba」キャンペーンは2009年12月9日に終了しております。）

※株式会社シマンテックおよび株式会社ワタナベエンターテインメントは、本件ブログパーツの作製・管理に関して一切携わっておりません。両社に、ご迷惑おかけしたことを重ねてお詫びいたします。

あ～あ～あ～

Amebaのブログパーツ「ノートン警察」閲覧者にトロイの木馬感染のおそれ
Amebaでは1月1日、芸能人ブログ450件のパスワードが流出しているほか、昨年12月には「Amebaなう」でクロスサイトリクエストフォージェリ（CSRF）の脆弱性を突かれた問題が起きるなど、セキュリティ関連の不祥事が続いている。

最初メールで一報もらったとき、さすがに野呂圭介さんがプラカード持って出てくるような印象だったので放置してたのですが・・・

Nortonセンセイも泣いてますよ、きっと・・・

現時点ではどのインジェクションだったのかは不明ですが・・・・

----------
8080とGumblar
Gumblarとガンブラー
ほぼ、その通りなのですが、8080系がもっとも厄介なのは、感染＝Security Tool では無いという点でしょうか？

8080系に感染すると、MultiDropperという系統のダウンローダを埋め込まれます。
これは環境の構成により、C&Cからの遠隔操作で様々な悪意ツールを自由自在に出し入れさせられることになります。

特定のFTPクライアントの全環境ファイルを抜き取られ～
FTP送信の形跡があれば、それを抜かれてサーバーを悪用され～
あるときはメールサーバ化してspamの送信元になり～
明くる日はDDos攻撃に加担し～
偽セキュソフトを入れられてクレジットカードをスキミングし～
（これをスキミングと呼ぶかどうかは微妙ですが・・）
パケットスニファを入れて別のPCの通信の監視も行い～

と殴られ放題のサンドバッグ状態になってしまいます。

また、rootkit的な性質をもっており、いくつかのファイルを不可視にしたり、レジストリの痕跡を隠したりもしているようです。

さらに、バッファ・オーバーランを悪用したdrive-by-download は本来ならば、Vista以降のASLR機能によって緩和されていたはずなのです。

しかし今回、JavaJRE (CVE-2008-5353) の悪用により メモリマップのNXビット保護が関係なくなり、UAC回避（なんでもかんでもOKを押す人）されてしまえば、Vista/Win7 も攻撃に晒されることになってしまいました。
※厳密に言えば Windows7 の場合は自分で脆弱性のあるバージョンの JRE を入れない限り大丈夫です。

このへんが、8080/GNU GPL の爆発的な感染拡大につながったのではないか？と推測されます。

ガンブラーウイルスについての誤った情報にご注意ください。

----------
8080系の名称候補として

QuickSilver
命名： Unmask Parasites
Quicksilver Malware Network -- 2009.09.17
※この頃は "rncsys32.exe" を使用していた

というのがあります。

あまりにカッコよすぎるので、個人的にはイヤなんですがね～（笑）

あるいは・・
nginxの8080portリバースプロキシを使っているので、nginx インジェクションでもいいかもしれません（笑）

ウチの周辺では
Java JREと JR east をカケて JRE8080 と呼ばれていますが・・

----------
BTW.....
/*GNU GPL*/、/*CODE1*/ の次は
/*LGPL*/
だそうです・・・

----------
EoF