★051211 半角二次元板ゴミクズ溜まり場報告スレ２の方に
検体らしきもの確保の報告が来てます
0306从*＾▽＾）るぅりん☆６歳@ギコナビ ◆IAc6UigumM 2006/02/27(月) 11:08:55ID:RDl2zQcE0
だーれもいない orz
検体の収集方法
キーワード：2006-13
トリップ：6zlZhsWVlG
サイズ上限： 15 (MB)
0322名無しの報告2006/02/27(月) 22:13:42ID:9wynQxXQ0
同人板爆撃ウイルス検証状況。
いまのところここまでわかっているようです。
http://comic6.2ch.net/test/read.cgi/doujin/1140974901/より。
162 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 15:11:16 ID:FyWv97xb
>>145
ほぼ確定しました。
(一般コミック・雑誌) [ジャンプ] [2006-13] ONE PIECE 401.zip
6zlZhsWVlG 6,285,249 c0f87010f9825ff8c62b85e3cf9019ee
内に含まれている one peace401 .scr がウイルス本体です。
勿論、他にもこのウイルスを混ぜたものが流れているかもしれません。注意。
以下、one peace401 .scr が発したPOSTの抜粋。
POST /test/bbs.cgi HTTP/1.1..Accept-Language: ja
,en,*..Accept: */*..Accept-Encoding: gzip,deflat
e..Content-Type: application/x-www-form-urlencod
ed..User-Agent: Mozilla/5.0 (Windows; U; Windows
NT 5.1; ja; rv:1.8) Gecko/20051111 Firefox/1.5.
.Cookie: PON=softbankxxxxxxxxxxxx.bbtec.net; exp
ires=Friday, 01-Jan-2010 00:00:00 GMT; path=/, H
AP=1219206; expires=Friday, 01-Jan-2010 00:00:00
GMT; path=/..Referer: http://comic6.2ch.net/tes
t/read.cgi/doujin/1128103867/l50..Accept-Charset
: *..Content-Length: 1586..Host: comic6.2ch.net.
...MESSAGE=%81%40%82%B1%2C%2C%82%F1++%82%C8++%8F
（以下、メッセージのエンコード済みデータが続く）
0323名無しの報告2006/02/27(月) 22:14:13ID:9wynQxXQ0
172 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 15:27:31 ID:FyWv97xb
パッと見、AntiLoとは内部構造が大幅に違うようです。
というのも、今回のはRubyで書かれている様なんですね。
（AntiLoはDelphiのWin32ネイティブでした）
インタプリタなので、解析しにくい事この上ないです。
投稿する文字、ターゲットとなるスレッドの特定も一筋縄にはいかない？かもです。
189 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 15:43:46 ID:FyWv97xb
>>176
同一犯の可能性ありですねー。
ウイルスにRubyって、あんまり聞かない話ですし。
>>177>>178
Winny2にて流れておりました。
追加情報です。似たようなファイルを落として確認しましたが、
やはりRubyで書かれた亜種が複数ある模様。なぜか動作しないものも。
0324名無しの報告2006/02/27(月) 22:15:03ID:9wynQxXQ0
196 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 15:52:47 ID:FyWv97xb
仮想マシン内で挙動を|дﾟ)ｶﾝｻﾂしますので、
私のIDでウイルス書き込みがあるかもしれません。
ご理解とご協力をお願い申し上げます。
296 名前：ウイルス蔓延中！要感染確認＠自ｼ台スレ 投稿日：2006/02/27(月) 18:22:05 ID:Z2oAQgiJ
>>281
hitしてますた。ﾏｼﾞ確定すな
ttp://comic6.2ch.net/test/read.cgi/doujin/1136769756/818
【323信者続けて】脳内ちゃん様劇場【パク絵師追放】
818 ：ウイルス蔓延中！要感染確認＠自ｼ台スレ[]：2006/02/27(月) 15:55:42 ID:FyWv97xb
消 えろニー,,ト,
ｒｙ
223 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 16:21:27 ID:FyWv97xb
パケットを見る限り、一度の動作につき
1. ttp://zonutan.hacca.jp/bbsmenu2.html
から同人板のアドレスを取得
2. 同人板のsubject.txtを取得→ターゲットスレを選定（現在はロジック不明）
3. 荒らし書き込み×4件前後
を行う模様。
あと、Symantecに該当ウイルスを提出・通報しておきました。
0325名無しの報告2006/02/27(月) 22:16:06ID:9wynQxXQ0
281 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 18:10:47 ID:FyWv97xb
速報。
ターゲットとなりうるスレッド
------------------------------------------------------------------------
なぞ ちもち 池上 シ也 ｼ也 茜 AMR 逝上 ちまき るなりあ nagomiko 亜星
にう 葉山カイト 友香子 妃川美波 トレ ﾄﾚ パク ﾊﾟｸ 検証 自治 じち ｼﾞﾁ ぢち
ﾁﾞﾁ 討論 引越 ny 盗 不正 痛 晒 厨 嫌 ちもち るなりあ 写 模 真似 マネ
------------------------------------------------------------------------
これらを含むとアウトの悪寒
331 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 18:44:42 ID:FyWv97xb
プロセスメモリエディタからRubyソースを摘出。ほぼ丸裸状態でつヽ(´ー`)ﾉ
・SETTING.TXTを読んでます
・名無し名が設定されていなければ'名無しさん＠どーでもいいことだが。'
になり、設定されていればその名前になります
・ターゲットスレを"トレ"だけで試した跡があります（デバッグ用？）
・ネトゲサロンにテスト書き込みを行った形跡があります。
bbskey=1082053502 メ欄=sage 本文=て
これに合致する書き込みがあれば、犯人が書き込んだ可能性が高いです。
・詐称するUAのレパートリーは160種類を超えます。
基本は "Mozilla/5.0 (Windows; U; Windows NT 5.1; ja; rv:1.8) Gecko/20051111 Firefox/1.5" の模様。
・ごみ箱にwinny.exeを捨ててあると、それをスタートアップに登録しようと試みます（失敗？）
・レジストリにスタートアップを設定します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
driver32=<ウイルスのパス> -x
・書き込みルーチンが賢いです。
ex) 〜sec書けません、とレスポンスが返ってきたらその通り待つようです。
0326名無しの報告2006/02/27(月) 22:16:45ID:9wynQxXQ0
339 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 18:51:41 ID:FyWv97xb
>>337
今だと、書き込まれる名前は"ウイルス蔓延中！要感染確認＠自ｼ台スレ"になります。
ここの処理は、やってる事がよく分かりませんです。
（名前を書かないと自動的にデフォになるのに）
2ch文化に詳しくない者の犯行を匂わせますねぇ。
353 名前：395 ◆veZNGgrqUc 投稿日：2006/02/27(月) 19:05:18 ID:FyWv97xb
>>316
AntiLo Killerでは、このウイルスを検出できません。ご注意ください。
>>341
いまのところ、動いているプロセスを止めて、
レジストリを掃除するだけでOKと思われます。
>>342>>345
該当部分のソース
#print get_samba24('comic6', 'doujin')
#print kakikomu('game10', 'mmosaloon', '1082053502', '', 'sage', 'て')
を見ると、やはりこの書き込みは…
345 名前：ウイルス蔓延中！要感染確認＠自ｼ台スレ 投稿日：2006/02/27(月) 18:58:22 ID:w+VGeWDu
>>331
ネトゲサロン見てみました
[test] 書き込みテスト 専用スレッド 1 [ﾃｽﾄ]
http://game10.2ch.net/test/read.cgi/mmosaloon/1082053502/236
236 名前：ネトゲ廃人＠名無し[sage] 投稿日：2006/02/20(月) 15:33:54 ID:???
て
抽出してみましたが本文＝て は2レス、うちメル欄sageはこれのみです
0327名無しの報告2006/02/27(月) 22:18:08ID:9wynQxXQ0
635 名前：ウイルス蔓延中！要感染確認＠自ｼ台スレ 投稿日：2006/02/27(月) 23:21:33 ID:f/nLTpSz
ソース読んで見たけど、これゾヌ2用にコッパたんが作ってる板一覧ファイルの
同人板のところのURLを弄ってもらうだけでとまるがな(´･ω･`)
もちろん亜種が出たらまた始まるけどな(´･ω･`)
なんなの、この厨房ソースコード
だそうです。
0331名無しの報告2006/02/27(月) 23:38:25ID:yfACn4sb0
修正を行う前に、レジストリのバックアップを取ります。
レジストリエディタ左側の画面で一番上に表示されている [マイ コンピュータ]を選択します。
次に[レジストリ]メニューをクリックし、[レジストリ ファイルの書き出し]を選択します。
（注意: Windows XP をご使用の場合は、[ファイル] - [エクスポート] の順に選択してください。）
・Windows 95/98/NT の場合は、保存する場所を [デスクトップ] に変更します。
・Windows Me/2000/XP の場合 は、ウィンドウ左側に表示されているデスクトップアイコンをクリックします。
次にファイル名ボックスに任意のファイル名を入力します。
（ファイル名は「regback」とか適当で構いませんが、つけたファイル名を覚えておいてください）
書き出し範囲が [すべて] に設定されていることを確認し、[保存] をクリックします。
この操作で、デスクトップ上にバックアップファイルが作成されます。
バックアップを取り終わったら、次のキーを調べます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
driver32=<ウイルスのパス> -x
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
driver32=<ウイルスのパス> -x
上記の場所にあやしいウイルスのパスが書かれたキーが見つかったら、
必ず<ウイルスのパス>の部分をメモに控えておいてください。
（後でウィルスを本体を削除する時に使います。）
それからこのキーを削除します。（削除はキーを選択-右クリック-削除でOK）
0340名無しの報告2006/03/08(水) 03:04:57ID:t5ghuRjL0
ほっしゅ
0341名無しの報告2006/03/13(月) 08:07:57ID:5hMXbk8C0
保守
0342名無しの報告2006/03/14(火) 18:12:35ID:IkGwKxZ00
0343名無しの報告2006/03/19(日) 17:21:23ID:RdditqDr0
0345名無しの報告2006/04/11(火) 20:56:00ID:JDyAm1qe0
0346名無しの報告2006/04/21(金) 20:14:00ID:Cqm5Kzob0
0347名無しの報告2006/05/05(金) 12:43:14ID:Lm2ZHDoE0
保守
0348名無しの報告2006/05/13(土) 19:55:02ID:zYmNgqcm0
age