★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】２

**ｒｅｆｆｉ@報告人 ★** · 2005/04/28(木) 22:42:15

ここは山田ウィルスによる投稿を報告するスレッドです。
幾つかパターンがあるようなので、見かけたら報告して下さい。

前スレ
★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】
http://qb5.2ch.net/test/read.cgi/operate/1113229514/

■山田ウィルスとは？（ttp://nemoba.seesaa.net/article/2891535.htmlより転載）

アップローダを利用してばら撒かれているウィルスらしいです。
感染するとデスクトップのスクリーンショットと、ハードディスクに保存されているファイル
全てを、外部からダウンロード出来るようにHTTPサーバーで公開します。そのアドレスを
２ちゃんねる内の掲示板にランダムに書き込みます。

他にも、ホストファイルを書き換えて、マイクロソフトやアンチウィルスソフト会社サイト
などへのアクセスを民主党（210.253.211.2）に変更し、ウィルス定義ファイルの更新、
ウィンドウズの更新などを利用出来ないようにします。

Q.　なぜ山田？
A.　友人の山田くんがメッセで送ってきたyoujo.exeを踏んで感染したという書き込みから。
書き込みはネタだったけど、そのまま定着。

【書き込み例】（※複数の亜種があるらしいです）

　23 名前：[名無し]さん(bin+cue).rar　[sage]　投稿日：2005/04/10(日) 10:28:30 ID:WjcJ6AbX0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ
　http://○○○.○○○.○○○.○○/
　http://○○○.○○○.○○○.○○/~ss.jpg
　http://hogehoge/
　http://hogehoge/~ss.jpg

-------------------------------------------------
　247 名前：http:// （IPアドレス）/~ss.jpg　[sage]　投稿日：2005/04/11(月) 06:29:22 ID:Viw/FtIW0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ

　うはっｗｗｗおｋｗｗｗ？？
-------------------------------------------------

**ｒｅｆｆｉ@報告人 ★** · 2005/04/28(木) 22:42:38

■現在の状況
FOX ★さんが作成した専用トラップで辛うじて防いでおります。
感染してないのに専用トラップに引っかかっている人はfusianasanと使用している
ブラウザの種類を記載してください。
（本当に感染してないか調べるため）
専用トラップのログファイルは各鯖に日付ごとに置いてあります。

例：http://tmp5.2ch.net/_service/Yamada20050428.txt

讃岐 ◆IamaVIPdCI · NG

ぼみょー

**ｒｅｆｆｉ@報告人 ★** · 2005/04/28(木) 22:49:38

>2追記
書けなくなった鯖もしくは板名も記載してください。

**動け動けウゴウゴ２ちゃんねる** · 2005/04/28(木) 23:10:58

>>3
こんなとこで遊んでないで暇だったら集計ぐらい手伝ったら。

**ｒｅｆｆｉ@報告人 ★** · 2005/04/29(金) 00:14:51

今日の速報値
昨日よりも増加傾向です。
ＧＷ期間中はどうなるかって所ですね。
それとぷららが個別に連絡してくれたみたいなのでその辺の効果も気になるところです。
今日よりこちらで保持してるデータ集計の値のみ載せます。
（前のがちょっと違っていたので）

04/26 40000
04/27 46000
04/28 48000

※詳しい分析は後ほど

**ｒｅｆｆｉ@報告人 ★** · 2005/04/29(金) 00:49:49

昨日のデータ集計です。

記録数ワースト１０
p6019-ipad07imazuka.yamagata.ocn.ne.jp 1041res
gk4.leo-net.jp 960res
61-24-28-151.rev.home.ne.jp 709res
JJ013206.ppp.dion.ne.jp 673res
p55184-adsau07doujib3-acca.osaka.ocn.ne.jp 644res
p30212-adsau17honb12-acca.tokyo.ocn.ne.jp 638res
pd3764c.tkyoac00.ap.so-net.ne.jp 592res
i60-35-74-224.s02.a014.ap.plala.or.jp 591res
YahooBB218131054094.bbtec.net 571res
218.33.144.147.eo.eaccess.ne.jp 535res

ワースト１のＩＰ急に増えたのでログを見てみたんですけど２６日から同地域から書き込まれて
いる記録が残ってました。

複数ホストプロバイダの集計
DION 5378
plala 2816
@home 2114
HINET 262
OCN 6796
ODN 1538
BIGLOBE 2275
so-net 1776
INFOWEB 2543
NTTPC 395
USEN 1104
YahooBB 5825
ZAQ 851

ＯＣＮが同地域からの大量記録でワーストになっちゃってますね（汗

単一（正規表現）ホストの記録数
.eonet.ne.jp1352
\.leo-net.jp1021
\.dti.ne.jp949
.eo.eaccess.ne.jp644
\.tnc.ne.jp592
.bai.ne.jp529
\.hicat.ne.jp510
\.icntv.ne.jp499
\.metro-u.ac.jp443
.ppp.wakwak.ne.jp431

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 01:03:13

レオネット規制中のはずなのに…

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 01:22:57

質問の場所ここでいいのか分かんないですけど・・・googkleというウイルスは本当にあるのでしょうか・・・？
踏んでしまって、再インストールしようか真剣に困ってます・・・orz

**ｒｅｆｆｉ@報告人 ★** · 2005/04/29(金) 01:25:13

>9
それ自体はウィルスではないですけど複数のウィルスやスパイウェア等をインストされて
しまうので再インストした方がいいと思います。

参照
ttp://www.itmedia.co.jp/enterprise/articles/0504/28/news017.html

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 01:26:33

>>9
質問するべきはここじゃないです。
初心者の質問板やPC初心者板へどうぞ。
（Windows板にウィルス対策スレがあればそちら）

踏んでしまった場合は早く対処したほうがいいですよ。

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 01:27:18

>>10
すいません、ありがとうございます。そこのサイトの方も今から見に行ってみます・・・。

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 01:30:20

>>11
ごめんなさい。今度からそちらへ行きます・・・orz

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 03:25:46

>8
書き込みは規制されててもドアをノックすることはできますので。

leo-net は通報しても対応してくれなさそうな雰囲気が漂ってるですねぇ。。

**美萌@報告人 ★** · NG

>>1
ぼみょ～

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 04:21:18

>>14
そういう対応の悪い所は、、、、
この際だから、手前のルータなりスイッチでdenyしてしまうとか。

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 04:32:52

>7
HINETって台湾だったか中国だったと思うんだけど

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 04:33:44

って都立大も酷いね

**水色＠飛行石 ★** · 2005/04/29(金) 11:43:38

おつですー。

とにかくー、減るかどうかの監視ですなー。
通報した分の半分も対応されればましかなーと
思うんですけどねー。

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 13:53:06

麻生さーん
http://tmp5.2ch.net/test/read.cgi/download/1114745071/
麻生さーん
http://tmp5.2ch.net/test/read.cgi/download/1114745257/
麻生さーん
http://tmp5.2ch.net/test/read.cgi/download/1114745173/

**動け動けウゴウゴ２ちゃんねる** · 2005/04/29(金) 20:39:44

>>17
串の可能性も無くもない。
新泥の串リストの常習だし。

**ｒｅｆｆｉ@報告人 ★** · 2005/04/30(土) 00:12:29

今日の統計速報値

04/26 40000
04/27 46000
04/28 48000
04/29 50000

ＧＷ初日だけどそれほど急激に増加してはいないようです。
細かい統計等は後ほど

**動け動けウゴウゴ２ちゃんねる** · 2005/04/30(土) 00:15:34

自分のサブマシンで実行してみたいのですが、亜種でもけっこうなので提供していただけませんか？山田ウィルス。

**ｒｅｆｆｉ@報告人 ★** · 2005/04/30(土) 00:51:48

昨日のデータ集計です。

記録数ワースト１０
61-24-28-151.rev.home.ne.jp 719res
p55184-adsau07doujib3-acca.osaka.ocn.ne.jp 653res
JJ013206.ppp.dion.ne.jp 569res
YahooBB219215172142.bbtec.net 529res
PPPa1199.saitama-ip.dti.ne.jp 527res
x007117.ppp.dion.ne.jp 511res
nttkyo279221.tkyo.nt.ftth.ppp.infoweb.ne.jp 505res
i1087168.icntv.ne.jp 496res
YahooBB220059024193.bbtec.net 495res
pd3764c.tkyoac00.ap.so-net.ne.jp 484res

複数ホストの統計
BIGLOBE 2871
DION 4295
HINET 221
@home 2247
INFOWEB 2634
NTTPC 418
plala 3094
OCN 5515
ODN 1503
SEED.NET（台湾）458
SO-NET 1792
USEN 1094
YahooBB 7914
ZAQ 1317

単独ホストの統計
.eonet.ne.jp1807
\.dti.ne.jp1025
\.tnc.ne.jp681
\.dsn.jp622
\.ccnw.ne.jp563
\.tcat.ne.jp551
\.icntv.ne.jp496
.eo.eaccess.ne.jp496
.ap.yournet.ne.jp453
\.omn.ne.jp430

**FOX ★** · 2005/04/30(土) 00:59:38

61-24-28-151.rev.home.ne.jp 719res
p55184-adsau07doujib3-acca.osaka.ocn.ne.jp 653res
YahooBB219215172142.bbtec.net 529res

このみっつはdeny しよう
IPアドレスわかりますかー?

**動け動けウゴウゴ２ちゃんねる** · 2005/04/30(土) 01:02:47

Name: 61-24-28-151.rev.home.ne.jp
Address: 61.24.28.151

Name: p55184-adsau07doujib3-acca.osaka.ocn.ne.jp
Address: 220.106.75.184

Name: yahoobb219215172142.bbtec.net
Address: 219.215.172.142

**FOX ★** · 2005/04/30(土) 01:05:39

どもども

61.24.28.151
219.215.172.142

の二つdeny します

讃岐 ◆IamaVIPdCI · 2005/04/30(土) 01:05:53

220.106.75.184
61.24.28.151
219.215.172.142

讃岐 ◆IamaVIPdCI · NG

あっ、遅かったか

**ｒｅｆｆｉ@報告人 ★** · 2005/05/01(日) 00:25:09

定例の速報値
ＧＷ入って増加傾向にあるのが気になるところです。

04/26 40000
04/27 46000
04/28 48000
04/29 50000
04/30 53000

讃岐 ◆IamaVIPdCI · NG

気付かないで新しく踏んでる人やGWでパソコンを起動させている人が増えたんでしょうね

**ｒｅｆｆｉ@報告人 ★** · 2005/05/01(日) 01:03:44

昨日のデータ集計です。

記録数ワースト１０
今日から過去に記録がないか記載します。

NIHfa-01p1-199.ppp11.odn.ad.jp 730res　記録無し
p6ef17d.tokyte00.ap.so-net.ne.jp 719res　２６日より
JJ013206.ppp.dion.ne.jp 709res　２６日より
59-104-237-101.adsl.dynamic.seed.net.tw 617res　記録無し
YahooBB218131054094.bbtec.net 584res　２６日より
p55184-adsau07doujib3-acca.osaka.ocn.ne.jp 555res　２７日より
YahooBB219025246101.bbtec.net 549res　２６日より（２８日は記録無し）
hccd37dce44.bai.ne.jp 548res　２６日より
YahooBB218134052069.bbtec.net 540res　２８日より
61.173.168.45 524res　２８日より
（このホストは中国です。）
inetnum: 61.172.0.0 - 61.173.255.255
netname: CHINANET-SH
descr: CHINANET Shanghai province network
descr: Data Communication Division
descr: China Telecom

複数ホストの統計
BIGLOBE 3351
DION 5294
HINET 190
@home 1374
INFOWEB 1589
NTTPC 368
OCN 6062
ODN 1700
plala 1833
SEED.NET 988
so-net 2766
USEN 1036
YahooBB 7877
ZAQ 1717

単独ホストの統計
.eonet.ne.jp2052
\.dti.ne.jp1047
\.tcat.ne.jp906
\.tnc.ne.jp581
.ap.yournet.ne.jp566
.bai.ne.jp548
\.att.ne.jp525
61.173.168.45524
\.point.ne.jp521
.eo.eaccess.ne.jp500

**FOX ★** · 2005/05/01(日) 01:05:28

61.173.168.45　はdeny するとして、、、

**美萌@報告人 ★** · 2005/05/01(日) 01:25:06

余り変わっていないですね。
と言いますか、新たな感染者が増殖中と見た方が良いのかしら・・・。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 01:40:26

こうなってくると自動での書き込み処理を弾く仕組み
を考えないといけないかな。

古典的なところでは、グラフィックで文字を表示して
それを入力しないと書き込みを受け付けない、とか。

出てくる単語が2ch用語とかだと、それはそれで楽しい。

**ｒｅｆｆｉ@報告人 ★** · 2005/05/01(日) 01:45:15

>35
既に仕掛けられてて今のところは功を奏しているようです。
もっともそれを抜ける亜種が出たら頭が痛いところですけど。。。

※ぷららですけど返答後に激減したので対応依頼の効果が出てるといえると思います。

04/29 3094
04/30 1833

**美萌@報告人 ★** · NG

一番の大物が効果出てきますと一機に減りそうですね・・・。

acngya014215.adsl.ppp.infoweb.ne.jp · 2005/05/01(日) 07:29:20

減らないねぇ（＾ω＾；）

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 09:02:47

fusianasanで書き込みのホスト記録して、１0回以上ならdenyするとか

**水色＠飛行石 ★** · 2005/05/01(日) 09:41:24

>>39
10回だと巻き添え出ますー。
それにfusianasanをコテハン代わりにしてる人もいますしー。

まー、何回かの基準設けてー、自動でバーボン送りにするならー、
少なくとも２時間は書けませんからー、投稿数は半分以下になるでしょうねー。
仮に解除になって繰り返されてもー、またバーボンされますしー。
中にはバーボンされてー、感染に気が付く人もいるかもー。

根本対策はー、やっぱりプロバイダへの通報な気がしますがー。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 10:17:28

>>40
fusianasanで書き込みしてくるホストと書き込みバイト数を記録して、
ある回数以上両方一致していればdenyするでは

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 13:36:49

fusianasanを別の名前に変更するとか

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 13:43:08

当然、yamadasanですよね。ｗ

**ｒｅｆｆｉ@報告人 ★** · 2005/05/01(日) 13:45:22

>42
そしたらそれに対応した亜種が出るだけかと（苦笑
地道に対応依頼して個別に連絡してもらうのが一番かなぁ
上でも挙げたけどぷららの例が物語っていますし

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 17:56:48

本当に困ったわね(´･ω･`)ｯﾀｸ

**美萌@報告人 ★** · 2005/05/01(日) 20:57:51

>>40
その手しか打つ手が無いようですね・・・。
放置しますと増える一方になりそうですし・・・。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/01(日) 21:35:35

このＧＷ中に、一手打たないと感染・亜種が増え続けますよ。

**ｒｅｆｆｉ@報告人 ★** · 2005/05/02(月) 00:26:54

速報値
ＧＷに入って微妙に増加傾向なのが気になるところです。

04/26 40000
04/27 46000
04/28 48000
04/29 50000
04/30 53000
05/01 56000

※細かい統計はまた後で

**水色＠飛行石 ★** · 2005/05/02(月) 00:44:02

>>48
感染パソコンが増えたと言うよりはー、
１台あたりの稼働時間が長くなったんじゃ
ないですかねー。休日ですしー。

**美萌@報告人 ★** · 2005/05/02(月) 01:09:13

飛行石さんの>>49を考慮しますと、対策済みの人と感染した人の割合が同じくらいでしょうか・・・。

**ｒｅｆｆｉ@報告人 ★** · 2005/05/02(月) 01:09:35

昨日のデータ集計です。

記録数ワースト１０
今日から過去に記録がないか記載します。

59-104-237-101.adsl.dynamic.seed.net.tw 694res ３０日より
JJ013206.ppp.dion.ne.jp 672res　２６日より
usr211019190202.tcn.ne.jp 530res　２６日より
x007117.ppp.dion.ne.jp 523res　２７日より
152.156.150.220.ap.yournet.ne.jp 520res　３０日より
nttkyo279221.tkyo.nt.ftth.ppp.infoweb.ne.jp 518res　２６日より
pd386ac.tkyoac00.ap.so-net.ne.jp 511res　３０日より
adsl-2-2137.adsl.nsk.ne.jp 491res　３０日より
i1087168.icntv.ne.jp 485res　２６日より
YahooBB220013192128.bbtec.net 479res　２６日より

複数ホストの統計
YahooBB8350
OCN6700
DION5552
so-net3881
plala2846
BIGLOBE2703
INFOWEB2014
ZAQ1693
ODN1677
@hone1592
SEED.NET770
USEN535
NTTPC489
HINET400

単独ホストの統計
.eonet.ne.jp1981
.ap.yournet.ne.jp911
\.chukai.ne.jp752
\.alpha-net.ne.jp686
\.dti.ne.jp606
\.tcn.ne.jp530
\.nsk.ne.jp491
\.icntv.ne.jp485
\.tnc.ne.jp468
\.tcat.ne.jp454

※ヤフーの増加が気になったのでもうちょっと突っ込んで分析してみます。

◆RJBB..qZsg · 2005/05/02(月) 01:13:35

>>51
某ソフトのことについてメールしました

**ｒｅｆｆｉ@報告人 ★** · 2005/05/02(月) 01:30:03

>50
推定感染者数は今のところ６００名前後で推移しています。

ヤフーの増加が気になって分析してみましたけど水色＠飛行石 ★さんの指摘通り、
接続時間増加に伴うアクセス数増加でした。

記録されたホスト数
04/30 67
05/01 68

>52
某ソフトについてこちらからもメールしました。

**通報屋** ◆Y39/vakKjY · 2005/05/02(月) 02:19:15

>>51-53
お疲れ様です。
こちらの方はあまり進展がないようで、一部のファイルが反応してます。
いろいろとTMに騒動があったのでGW明けに結果が出ればいいなぁと思っています。

**水色＠飛行石 ★** · 2005/05/02(月) 02:37:47

>>53
おつですー。

えーと、そのプロバイダ別のホスト数の集計、
いるんじゃないですかねー。

連絡はお任せしてますがー、やはり数が多い所に
メールを送るのがー、効率いいわけですよねー。

そっちを集計しないとー、減ったかどうかも判らないんじゃ
ないですかねー。

**ｒｅｆｆｉ@報告人 ★** · 2005/05/02(月) 02:46:55

>55
各プロバイダのホスト数の集計ですか（汗
ちょっと大変ですけど４桁記録されてるプロバイダの集計取ってみます。

**水色＠飛行石 ★** · 2005/05/02(月) 03:03:05

手間かけますー（汗）。

多いところだけでいーと思いますよー。

**ｒｅｆｆｉ@報告人 ★** · 2005/05/02(月) 03:54:31

とりあえず、２６日分だけ出来たので上げます。
完成したらOpenOffice.org形式で何処かにうｐします。
なお、新ツール投入で精度は大幅に上がってます。

日付 4月26日
推定感染者数 621

BIGLOBE 39
DION 39
dsn 57
Eonet 12
@home 23
INFOWEB 32
OCN 111
ODN 13
Plala 36
So-net 9
USEN 11
YahooBB 69
ZAQ 12

dsnは回数が少ないんですけど記録ホスト数が多かったので上げておきました（汗

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 21:25:42

これは山田さんですか
http://tmp5.2ch.net/test/read.cgi/download/1114793046/449

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 21:39:53

これもかな？
http://tmp5.2ch.net/test/read.cgi/download/1113488843/505

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 21:44:17

来たね。そして繋がるみたいね。

**動け動けウゴウゴ２ちゃんねる** · NG

これにアクセスすると不正アクセスになっちゃうの？
ちょっと見てみたいんだけど

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 22:01:03

自己責任

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 22:05:43

>>62
相手がWEBサーバ立ち上げてる状態だから別に不正アクセスにはならんよ。
ファイアーウォールやルーターを潜り抜けるのはやばいけど。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 22:09:01

>>59の奴だけど
スクショでニュー速のスレ見てたからもしかしたら誘導できるかと思ったけど切れた

**動け動けウゴウゴ２ちゃんねる** · 2005/05/02(月) 22:35:22

亜種が出現したようなので一応傘ｽﾚを

MARIEどうなった？
http://tmp5.2ch.net/test/read.cgi/download/1115027717/