| ★阿修羅♪ > ＩＴ11 > 441.html ★阿修羅♪ |
|
ガンブラーはサイバーテロ（サイバー攻撃作戦）を準備するウィルスネットワークを構築するように見えます。
以下の文書は主としてガンブラーの仕組みを技術的に説明した文書なのですが、その中にも次のような記述があります。
＞現在この「ウイルスシステム」は、ネットワークの構築自体を目的にしているように見えます。
＞しかし、出来上がった「ウイルスネットワーク」に、システムの破壊であるとか、ファイルの盗み出しなどといった、新たな「目的」をもったコードを流通させると、「サイバーテロ」が起こせます。
・・・
＞１層目は、このウイルスシステムを作成し、ウイルス１・２・３を供給している「本当の親玉」です。まだ、この正体はわかっていないと思われます。もし、これが某国のサイバー戦部隊だったら・・・。
tkが付け加えたいのは、このシステムの巧妙なところは「本物の親玉」を検知するのは非常に困難だということです。必要に応じて適当なパソコンを乗っ取って第２層「やられ群１」のダミーのボス群の一つに指令を送れば、全世界にまん延した第４層のパソコン群を使った攻撃ができるようになります。指令役のパソコンを特定して、さらにそのパソコンを乗っ取った攻撃者を特定することは、まず不可能でしょう。
このガンブラーシステムを使えば、敵対国からのサーバー攻撃を偽装することなども自由自在だ。敵対国のパソコン（第４層）やサーバ（第２層、第３層）を選んで偽装攻撃を行わせるだけでOK。
問題は、第２層「やられ群１」のダミーのボス群を操る暗号キーを知っているのが、（ａ）たんなる犯罪組織なのか、、（ｂ）それとも「某国のサイバー戦部隊」自身であるか、（ｃ）たんなる犯罪組織だとしても、その組織が「某国のサイバー戦部隊」と極秘裏に取引を行う可能性があるのか・・・。
コードが頻繁に書き換えられていること、使っているセキュリティホールが新発見のものであること、から、開発しているのは相当な人数と技術力をもった組織であることがうかがえます。
＊ 少なくとも、サーバー攻撃を行ったパソコンを特定されるような間抜けな連中ではない。（http://www.asyura2.com/09/it11/msg/435.html）。
＝＝＝
http://blogs.yahoo.co.jp/umayado17/archive/2009/10/28
【警告】新種の「Gumblar.x」PHPウイルスの猛威 そのメカニズム
１０月９日ごろに発生した、新種のPHPのウイルス 「Gumblar.x」「JSRedir-R」（通称、GENOウイルス）について、おぼろげに全体像が見えてきました。
４層構造になっている、とても巧妙な「ウイルスシステム」です。
サーバー管理者のマシンから、直接 FTPのパスワードがもれなくても、
社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られます。
警告
現在この「ウイルスシステム」は、ネットワークの構築自体を目的にしているように見えます。
しかし、出来上がった「ウイルスネットワーク」に、システムの破壊であるとか、ファイルの盗み出しなどといった、新たな「目的」をもったコードを流通させると、「サイバーテロ」が起こせます。
平時に淡々と、ネットワークを作っておき、それは組織の内部に浸透していて、いざ、有事というときに、破壊コードを送り込まれたらと思うと、慄然といたします。
このエントリーでは、わかった部分について、報告いたします。
４層の 基本構造
この「ウイルスシステム」（以下述べるように、３つのウイルスからなるので、あえて、”システム”と呼びます）は、４階層で成り立っています。それが相互に連携しながら作動しているため、連携したネットワークのことを、「ウイルスネットワーク」と呼ぶことにします。
●技術情報
http://blogs.yahoo.co.jp/noooo_spam/59020592.html
http://www3.atword.jp/gnome/2009/10/23/kaspersky-leave-it-to-me-the-gumblar-x/
１層目
１層目は、このウイルスシステムを作成し、ウイルス１・２・３を供給している「本当の親玉」です。まだ、この正体はわかっていないと思われます。もし、これが某国のサイバー戦部隊だったら・・・。
２層目
２層目は、ウイルス１に感染し、相互に連携している感染サーバー群「やられ１群」です。「やられ１群」は：
・後述する「やられ２群」にサーバー用のウイルス２を供給して「やられ２群」を増殖させる
・やられ２群からでリダイレクトされてきて、
クライアントPCに対してウイルス３を供給し「やられ３群」を増殖させる
機能を持っています。さらに、
・「やられ３群」から送られてくるFTPのアカウント情報を受け取る
・「やられ１群」同士はネットワークを組んでおり、乗っ取ったサーバーの
FTPアカウントの情報を共有していると思われる
・「やられ１群」同士のネットワークを通じて、「本当の親玉」から
供給される最新のウイルスシステム自体を共有している可能性もありうる
「やられ１群」は、一見すると普通のホームページであり、おそらく、このサーバーを管理している管理者も気づかないように、バックグランドで上記の動作をさせられていると思われます。
私の手元では
http://ndrelationship.com/
http://hd-select.com/
http://sepahan-e.com/
http://4355.yomiuri-yy.com/
http://nicolematernity.com/
http://incabrasil.org.br/
などが「やられ１群」であることがわかっています。
●技術情報
http://ilion.blog47.fc2.com/blog-entry-154.html
http://d.hatena.ne.jp/kaito834/20091025/1256437910
３層目
３層目は、ウイルス２に感染し、FTPを乗っ取られている感染サーバー群「やられ２群」です。「やられ２群」は：
・PHPスクリプトを利用しているWEBサーバー
・「やられ１群」からFTPを通じて、ウイルス２を送り込まれている
・php, html, htm, js, txt ファイルがウイルス２に感染している
・phpファイルの一部のみに「やられ１群」からウイルス２のコードが加えられる
その後、クライアントPCからのアクセスでウイルス２のコードが動き出し
サーバー内のWEB用フォルダ内全体にウイルス２が蔓延します。
・「やられ２群」の横のつながりはないようです。
「やられ２群」も、一見すると普通のホームページであり、正常に稼動しているように見える可能性もあります。CMSなど、PHPが重要な役割を果たしているサーバーでは、ウイルス２が多重に起動して、サーバーが落ち、発見に至ります。
●技術情報
http://kanariia.com/blog/archives/612
http://blogs.yahoo.co.jp/umayado17/59871598.html
http://blogs.yahoo.co.jp/noooo_spam/59054571.html
４層目
４層目は、Windowsマシン（クライアントPC）用のウイルス３に感染したパソコン群「やられ３群」です。「やられ３群」は:
・Windows, InternetExplorer, Flash, Acrobatの脆弱性を修正していないパソコンです。
・そのパソコンが、「やられ２群」のホームページを閲覧することで、
「やられ２群」を経由して「やられ１群」から脆弱性に応じた
ウイルス３を送り込まれて感染します。
・「やられ３群」は、別のクライアントに感染しないようです。
・トロイの木馬型で、ネットワーク内のトラフィックを監視します。
そして、ネットワーク内でFTPサーバーへのアクセスをした際に、
そのURL,アカウント,パスワードを盗み取り、「やられ１群」に通報します。
・パソコンの状態によっては、起動しなくなるという症状も報告されています。
「やられ３群」もまた、一見すると普通のパソコンであって、ちょっと処理が重いといったくらいでしかない可能性もあります。
●技術情報
http://blogs.yahoo.co.jp/noooo_spam/59033315.html
ウイルスシステム
以上のように、４層でなりたっており、しかもそれぞれのマシンの破壊を目的にせず、ウイルスネットワークの増殖自体を目的にしているようにも見えます。
「やられ１群」が「やられ３群」に感染させるコードは、暗号化されており、しかも、ダウンロードする毎に変数名などをランダムに変更するようです。さらに、さらに、その際に与える「やられ１群」のURLも、「やられ１群」の中からランダムに与えている可能性があります。その為、常にコードは変化します。ウイルス対策ソフトによって検出ができにくく工夫されています。
また、「やられ１群」「やられ２群」が大量に存在するため、すべての感染サーバーをリストアップすることも、非常に困難になっており、感染サーバーのリストでアクセスを遮断するタイプのウイルス対策ソフトでは対処できません。
ウイルスのコード自体も、複数のコードが複雑に組み合わされています。「やられ１群」用のウイルス１は、大掛かりなプログラムになっているものと思われます。逆に「やられ２群」用のウイルス２は、極めてシンプルであり、ウイルス２の多重動作によって、サーバーがダウンしない限り、気づきにくいコードです。「やられ３群」用のウイルス３は、Flash,PDF,EXEと脆弱性にあわせたコードが用意されています。
このように多層にくみあわされ、感染したマシンが連携して作動するネットワーク状の「ウイルスシステム」なのです。
クライアント・ホームページ管理者側から見た現象
Widowsマシン（クライアントPC）側からみた現象はこんなことです。
・身の回りにこのウイルス３に感染したWindowsがある（「やられ３群」）
・感染したWindowsにネットワークを監視され、FTPのパスワードが盗まれる
・管理しているサーバーに、このパスワードを使って侵入されてウイルス２をうつされる。
具体的には、phpファイルの冒頭が （「やられ２群」の誕生）
次に、このサーバー（ウイルス２に感染したサーバー）にアクセスすると、
・上記のphpファイルが作動して、gifimg.php の作成、
そのサーバー内の html, htm, php, jsファイルの書き換えがおこる
（「やられ２群」の出来あがり）
・このサーバーにWindowsマシン（クライアントPC)がアクセスすると、
ウイルス３を送り込まれて感染する
（「やられ３群」の誕生）
・はじめに戻る
ということです。
これをぐるぐる回ると、「やられ２群」と「やられ３群」が無限に増殖してゆきます。
大きな問題は、
サーバーを管理している人のマシンから、直接 FTPのパスワードがもれなくても、
社内に感染したマシンがあれば、そこから、管理しているサーバーのパスワードがもれて、
サーバーを乗っ取られる可能性がある、
ということです。
やられ１群対策
対策はまだわかっていません。FTPサーバー・WEBサーバー・OSにセキュリティホールのあるサーバーが、「やられ１群」になっていると思われます。
やられ２群対策
「やられ２群」の対処策はこちら
新種の「Gumblar」PHPウイルスがはやっています
http://blogs.yahoo.co.jp/umayado17/59853513.html
題名には必ず「阿修羅さんへ」と記述してください。