無題なログ

セキュリティ情報、迷惑メール、フィッシング詐欺、Windows の小ネタを書いているブログです (*^ー^)ノ

2015/03

Process Explorerでウイルスが動いてないか簡単に調べる方法 タスクマネージャー+VirusTotal
 
マイクロソフトが無料で提供してるWindows向けフリーソフト Process Explorerタスクマネージャー の上位版に相当するものです。
 
タスク マネージャーには、現在コンピューター上で実行されているプログラム、プロセス、およびサービスが表示されます。タスク マネージャーを使用すると、コンピューターのパフォーマンスを監視することや、応答していないプログラムを終了することができます。
Process Explorer の2014年1月にリリースされたバージョンから、プロセス上で動くプログラムの ハッシュ値 をファイルスキャンサイト VirusTotal (Google 運営)に送信して判定結果を返す機能が実装されました。
 
高機能タスクマネージャー「Process Explorer」が“VirusTotal”との連携に対応 (窓の杜)
http://www.forest.impress.co.jp/docs/news/20140130_633125.html

VirusTotal の判定結果を確認する方法

何か怪しいコンピュータウイルス・マルウェアが今現在進行形で動いてないか、お手軽簡単に調べる方法です。
 
ファイルそのものを VirusTotal にアップロードすることはなく、単なる数値(ハッシュ値)の送信だけなので、手元のプログラムが外部に漏洩することはないです。
 
イメージ 1 
「0/54」→ 54種のセキュリリティソフトで脅威判定は0という意味
 
【1】 Process Explorerのメニュー [Options] → [VirusTotal.com] → [Check VirusTotal.com] をポチッとな
 
【2】 初回のみ 確認ダイアログ情報ダイアログ が表示されます。
 
You must agree to VirusTotal's terms of service to use VirusTotal features.
When you do, Process Explorer will submit hashes for files listed in the process and DLL view to VirusTotal.com. You can submit a file's contents by using the Submit button on the process and DLL properties dialog boxes.
(VirusTotal の機能を使うので利用規約に同意するか)
 
You can enable lookup of VirusTotal results for all files displayed in the process and DLL views by selecting the Check VirusTotal entry in the Options menu or check individual files on-demand using the process and DLL properties dialogs.
([Options] メニューの [Check VirusTotal] を選択しておけば、すべてのファイルの判定結果が表示されるし、個別のファイルも [Properties] ダイアログで確認できる)
 
【3】 数10秒ほど待ってれば VirusTotal のカラムに状況が表示されます
  • Hash submitted... … ハッシュ値を送信中
  • 数字/数字 … 判定 (リンクをクリックするとブラウザに結果ページ)
  • Unknown … VirusTotal にファイルがアップロードされた実績なし
毎回チェックする必要もないので、確認し終えたら【1】のチェックマークは外しておきましょう。
関連するブログ記事
このエントリーをはてなブックマークに追加

Video Playerの更新装って偽セキュリティソフトSecurity Defender感染手口
 
何かネットサーフィン中にいきなり転送され、目に飛び込んでくるかもしれん不正なページ見っけたので紹介ですます。
 
イメージ 1
上はIEだけど使用ブラウザに合わせたロゴマークが表示される
 
Please Update to the Latest Version
You are currently browsing the web with Internet Explorer and your Video Player might be outdated
 
あなたの「Video Player」が期限切れになってるということで、最新版に更新するよう促す内容になってます。
 
Accept and Install}ボタンを押して先へ進んでみると、ブラウザのダウンロード通知が表示されファイルの起動か保存となります。
 
イメージ 2
何かファイルのダウンロードへ…
 
Recommended
You are currently browsing the web with Internet Explorer and it is recommended that you update your video player to the fastest version available.
Please update to continue.
 
このファイルは、名前が「install_flashplayer16x32 ~」となってるので無料ブラウザアドオン Adobe Flash Player に関連するファイルと思わせたいようだけど、拡張子が *.vbs(VBScript)になってるのがミソ。
 
イメージ 3
 
中身のデータはこんな感じ。。。
 
イメージ 8
VBScriptはMicrosoft開発のスクリプト言語でWindows標準で利用できる

ファイルを起動したらウイルス感染!

このVBScriptファイルを仮にも起動してしまうと、ランダム英数字のファイル名が付けられたWindows向け実行ファイル(拡張子 *.exe)が裏でドロップされ動き出します。<感染!
 
イメージ 7
VBScriptを処理する wscript.exe からナゾの実行ファイルが吐き出される
 
この実行ファイルはトルコのサーバー(46.45.171.236)に接続して、ファイルのダウンロードなど やり取りを行います。
 
イメージ 6
このIPアドレスに接続するマルウェア検体たち
 
 
んで、最終的にこんなウィンドウがデスクトップ画面に出現して異変に気付くことになります。
 
イメージ 4
偽アクションセンターと偽セキュリティソフト
 
正体はマイクロソフトのウイルス検出名だと Rogue:Win32/Trapwot で、Microsoft Security Essentials / Windows Defender っぽいデザインに偽装した偽セキュリティソフトでした。
 
 
Rogue:Win32/Trapwot
Rogue:VBS/Trapwot
Rogue:Win32/Trapwot!plock Rogue:Win32/Trapwot!rfn
Behavior:Win32/Trapwot.A
 
表面上は「Security Defender」という如何にもなソフトウェアを名乗ってます。
 
イメージ 5
クレカ決済で価格69.95ドルの Defender PRO 2015 を購入させるのが狙い
 
この記事ではユーザーの意思が伴う自爆感染になるけど、ネットサーフィン中にドライブバイ・ダウンロード攻撃を食らって強制インストールされる手口の確認されてます。
このエントリーをはてなブックマークに追加

偽ブランド通販サイトを宣伝するためサイト内検索を悪用するスパム
 
最初、日本の銀行の公式サイトの中に偽ブランド通販サイトが作られてるのかと思ってアクセスしてみたら、各サイトに用意されてるサイト内検索機能に嫌らしく宣伝キーワードを突っ込んでるのねぇ。。。 <ここまでやるかい!
 
イメージ 1
正規サイト内に偽ブランド通販サイトの宣伝メッセージが… 
 
ユーザーを引きつける効果ははたしてあるのかどうか疑問?
 
イメージ 4
佐賀銀行
 
イメージ 3
台東区役所
 
イメージ 2
親和銀行
 
イメージ 5
チケットぴあ
 
明らかに作為的な検索ワードなので、サイト内検索の結果ページを検索エンジンに登録させないよう制限かけたり、何かしら対処したほうがいいかも。
ユーザー生成スパムに関するガイドライン - Google ウェブマスター ツール ヘルプ
https://support.google.com/webmasters/answer/2721437?hl=ja
このエントリーをはてなブックマークに追加

↑このページのトップヘ