X



★山田ウィルス対策スレ3

■ このスレッドは過去ログ倉庫に格納されています
NGNG
ここは通称山田ウィルスの対策スレッドです。
新種の報告はこちらへお願いします。

★山田ウィルス報告スレ【ええけつしとるのぉ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1114264573/



前スレ
★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ハァハァ】2
http://qb5.2ch.net/test/read.cgi/operate/1114695735/


■山田ウィルスとは?(ttp://nemoba.seesaa.net/article/2891535.htmlより転載)

アップローダを利用してばら撒かれているウィルスらしいです。
感染するとデスクトップのスクリーンショットと、ハードディスクに保存されているファイル
全てを、外部からダウンロード出来るようにHTTPサーバーで公開します。そのアドレスを
2ちゃんねる内の掲示板にランダムに書き込みます。

他にも、ホストファイルを書き換えて、マイクロソフトやアンチウィルスソフト会社サイト
などへのアクセスを民主党(210.253.211.2)に変更し、ウィルス定義ファイルの更新、
ウィンドウズの更新などを利用出来ないようにします。

Q. なぜ山田?
A. 友人の山田くんがメッセで送ってきたyoujo.exeを踏んで感染したという書き込みから。
書き込みはネタだったけど、そのまま定着。


【書き込み例】(※複数の亜種があるらしいです)

 23 名前:[名無し]さん(bin+cue).rar [sage] 投稿日:2005/04/10(日) 10:28:30 ID:WjcJ6AbX0
 ええけつしとるのぉ(*´Д`)ハァハァ
 http://○○○.○○○.○○○.○○/
 http://○○○.○○○.○○○.○○/~ss.jpg
 http://hogehoge/
 http://hogehoge/~ss.jpg

-------------------------------------------------
 247 名前:http:// (IPアドレス)/~ss.jpg [sage] 投稿日:2005/04/11(月) 06:29:22 ID:Viw/FtIW0
 ええけつしとるのぉ(*´Д`)ハァハァ



 うはっwwwおkwww??
-------------------------------------------------
2005/05/19(木) 04:23:50ID:lWVSTgOY0
exeファイルを直接圧縮展開する場合に
http://www.forest.impress.co.jp/article/2004/07/30/arcsecurity.html
この脆弱性を利用してスタートアップに展開してしまう事がある。
2005/05/19(木) 05:19:36ID:ayz+i9G90
>>142
たぶんほとんどの場合コレだな
2005/05/19(木) 06:25:23ID:x1l2fLrn0
>>142
これ以外ありえないかと。
あとはHTMLとかの脆弱性をねらったヤツとか・・・
で、Blog見つかっちゃったのね_| ̄|○
2005/05/19(木) 06:56:25ID:U/eBmu9q0
ということはLhasaを使えばいいってことか
2005/05/19(木) 06:59:40ID:Kxsoj2Y60
127.*.*.*と192.168.*.*からの接続だけ拒否する
(それも403じゃなくてちゃんと>>6のようになる)のは
プログラムだけで(hostsの書き換えしなくても)可能。
2005/05/19(木) 07:01:29ID:Kxsoj2Y60
>>145
ちゃんとバージョンアップしてれば
現時点でほとんどの解凍ソフトは対応済み。
http://www.hiemalis.org/~toshichan/hiki/hiki.cgi?%B0%B5%BD%CC%A5%D5%A5%A1%A5%A4%A5%EB%B2%F2%C5%E0%A4%CE%C0%C8%BC%E5%C0%AD
まあウィルス踏むような奴が
> ちゃんとバージョンアップしてれば
を満たしてるかどうかは極めて怪しいが
2005/05/19(木) 07:12:09ID:U/eBmu9q0
あぁよくわからん
とりあえず
http://www.forest.impress.co.jp/lib/arc/extract/extracter/lhasa.html
からLhasaダウンロードする
2005/05/19(木) 07:14:22ID:Kxsoj2Y60
その前にhosts改竄されてないかよく確かめとけよ
2005/05/19(木) 07:17:42ID:U/eBmu9q0
ttp://www.digitalpad.co.jp/~takechin/download.html
ここの
LHA & Zip extractor Lhasa ver0.19 for Win32
(for 95/98/ME/NT/2000/XP, 100KByte)
.lzh & .zip 一発解凍ツール (自己解凍形式)
もうダウンロードしちまった

たぶん山田ウィルスには感染してないと思うが
>>149
確かめ方がわからん><
2005/05/19(木) 07:23:04ID:euZwubGB0
>>150
その自己解凍を展開する時に感染したりしてナw
2005/05/19(木) 07:23:47ID:U/eBmu9q0
ちょw
お前怖い事言うなよ
2005/05/19(木) 07:45:35ID:U/eBmu9q0
対策も兼ねて張っときますよ
ttp://www2.atwiki.jp/kawaisosu/

山田ウィルスまとめWiki
2005/05/19(木) 09:03:37ID:OZQGBhYl0
hostsファイルのことが分からない人のために貼っておく
hostsファイルとは?
ttp://www.higaitaisaku.com/search.html

hostsファイルをいじるソフト
HostsToggle Live!
ttp://bdc.s15.xrea.com/index.php?option=com_remository&Itemid=59&func=fileinfo&parent=category&filecatid=16
155動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/19(木) 10:49:43ID:HYvIC1k20
>>426
参考スレ http://qb5.2ch.net/test/read.cgi/operate/1116127723/

http://127.0.0.1/
を踏んだとき、以下のようになっていれば問題なし

■IEの場合
タイトルバーに「サーバーが見つかりません」
本文の最初に「ページを表示できません」
と書かれたページが表示される。
res://C:\WINDOWS\system32\shdoclc.dll/dnserror.htm
の内容と同じ。

■Firefoxの場合
「127.0.0.1 へのネットワーク接続を試みている時に接続が拒否されました。」
というメッセージのダイアログが出る。
2005/05/19(木) 11:08:51ID:adsovLtx0
亜種は、ブラウザの確認ではむずかいしかもよ・・・
漏れは、svchost.exeの検索を薦める。
2005/05/19(木) 12:05:08ID:euZwubGB0
>>156
svchost.exeが6個も起動してるよwっうぇうぇww
コマンドプロンプトでnetstat -anop tcpじゃだめか?wっうぇえうぇ
2005/05/19(木) 12:41:14ID:adsovLtx0
>>157
プロセスじゃなく、ファイル検索汁!!
変なところに有ったらビンゴ。
2005/05/19(木) 12:44:33ID:NW14zxOz0
>>136
でも人数はあまり変わってないし、平日だし。
今週末減るかどうかがポイントでしょうね。
160動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/19(木) 15:09:52ID:Iee38h6RO
この手のウイルスはどのようなことをすると感染するのでしょうか?
2005/05/19(木) 15:17:02ID:hhPH8r9w0
シベリア超速報で見かけた、これもひょっとして亜種?

http://etc3.2ch.net/test/read.cgi/siberia/1114418299/356
http://etc3.2ch.net/test/read.cgi/siberia/1116408360/19
http://etc3.2ch.net/test/read.cgi/siberia/1111676144/403

自分のhostをgoogleで検索して結果を貼り付けてるようなんだが。


2005/05/19(木) 15:17:14ID:ZfKRHw5R0
2ちゃんねるで、リンクを踏みまくるとなる
2005/05/19(木) 15:53:54ID:ZdRJ1ESQ0
ダウソ板の山田ヲチスレ見ると感染者がいなくて暇そうなんだけど、
ココ見る限り、感染件数が激減してそうにないのはどうしてですか?
2005/05/19(木) 15:57:09ID:xgrWMY0J0
熟女板で見かけました

http://sakura02.bbspink.com/test/read.cgi/mature/1093166907/917-922
165動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/19(木) 16:09:18ID:Dn3reQoq0
★山田ウィルス報告スレ【ええけつしとるのぉ】
ttp://qb5.2ch.net/test/read.cgi/sec2chd/1114264573/

★山田ウィルス対策スレ3
ttp://qb5.2ch.net/test/read.cgi/operate/1116127723/
2005/05/19(木) 16:35:17ID:SEjW5rrv0
>>163
山田書き込みを2chがはじいてるだけ
2005/05/19(木) 16:50:14ID:XopBETtQ0
>>163
ヲチは感染した上で繋がらないと始まらない。
実際に感染しても公開までいたるのは極少数。
168動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/19(木) 17:32:26ID:a85ELn8/0
あっちでも質問したけどまだ流れ早いのでこっちで質問しなおすッス

Yamada(日付).txtを収集してきて、ゴミとって重複チェック済みの
IPアドレス一覧表を作ったんですが、コレを公開するとまずいですか?
2005/05/19(木) 17:35:09ID:NLvyPOJf0
>>168
はぁ?
自分で考えろ
2005/05/19(木) 17:42:21ID:D2B/oU2J0
>>168
元々の公開情報を、まとめて掲示することになんか問題あるの?
2005/05/19(木) 18:17:13ID:N0Nfp8Ec0
>>168
2chですので、すべて自己責任。
2005/05/19(木) 20:46:48ID:X7bd+1IX0
恐いよ〜! チンポ(((( ω ))))プルプル
2005/05/19(木) 21:31:54ID:kSlhH5F40
http://tmp5.2ch.net/test/read.cgi/download/1116505662/2
2005/05/19(木) 22:40:44ID:5/fgZTn60
wの連打が書き込みに反映されないとこがあるけどこれのせい?
おせーて、エロいしと
2005/05/20(金) 01:49:48ID:???0
OCNから返答メールが届きました。
非公開要請がきておりますので転載は差し控えますけど対応できないとの回答でした。
あくまでの対応依頼ですのでこれ以上の連絡はしませんけど今後の対応を考えない
といけないと思います。
2005/05/20(金) 02:16:40ID:U3X0Mtv/0
運営がアク金で書けないとは_| ̄|○ISP変更
勝手に速報値ですが19日は大体47000パピコ

今週末が色々気になるなぁ
2005/05/20(金) 03:53:44ID:gKPs2/sf0
>>175
さすがspammer御用達プロバイダですな
今後はbotnetもお得意様ですか
2005/05/20(金) 04:05:08ID:iu6t0Ea30
さすがVIP仕様のOCN
179282
垢版 |
2005/05/20(金) 05:59:06ID:ppmJ/Ejj0
http://127.0.0.1/ これを踏むと
ここにつながるんです↓
ttp://www.ybfda.net/news/
2005/05/20(金) 06:00:31ID:ppmJ/Ejj0
↑誤爆しました
2005/05/20(金) 07:04:59ID:PwJcWzQn0
http://pc8.2ch.net/test/read.cgi/swf/1116255285/169
うへへ。
2005/05/20(金) 07:17:37ID:oTRRsU+i0
238 [名無し]さん(bin+cue).rar sage 2005/05/20(金) 05:18:49 ID:XUjCPEh30
くっくっくっくく
なんて楽しいんだ。面白いよ。オマイラ
ハッカー気取りの3バカには面白いものを見せてもらった。
なかなか攻撃されている側の画面を見る機会は見ないモンな。

そんな早起きのオマイラにプレゼントだ
山田ウィルスに感染したPC上で任意のWEBを開かせることができる。
とあるやつが穴をぽっかり開けてたからな。
http://ycanon.memebot.com/
Target Host: アドレス(ex. 123.123.ocn.ne.jp)
Target Port: ポート(ex. 80)
Target Page: 開かせるページのURL(ex. http://www.yahoo.co.jp/)
感染者を此所に誘導するのものよし、
http://127.0.0.1/を開かせて気づかせるのもよし、
勘違いバカを挑発するもよし、
信条に反するなら捨て置いてもよし、
好きに使え。
ことわっておくがオレは山田作者じゃねぇぞ byにゃるら
2005/05/20(金) 07:39:12ID:1g2Rxy7B0
>>182
ブラクラ注意。
そこアクセスするとやばいス。
2005/05/20(金) 07:59:13ID:E+VfXQkf0
なんかまた亜種が出てるのかな
2005/05/20(金) 09:31:12ID:3DPj/Qz40
>>182
http://ycanon.memebot.com/cgi-bin/index.cgi
<html><head><title>YAMADA</title></head>
<body><center>
<a href=./cgi-bin/index.cgi>here</a>
</center>
</body>

http://ycanon.memebot.com/cgi-bin/index.cgi
<html>
<head>
<title>YamadaCanon</title>
</head>
<body marginwidth=100 marginheight=100 topmargin=100 leftmargin=100>
<center>You overslept this morning</center>
</body>
</html>

こんなのだった、今のところ大丈夫なんじゃないかな
2005/05/20(金) 09:52:09ID:7ZuQTjRm0
>>185
同じアドレスで内容違うの?
2005/05/20(金) 09:55:42ID:9I3q0M7X0
>>185
http://ycanon.memebot.com/
<html><head><title>YAMADA</title></head>
<body><center>
<a href=./cgi-bin/index.cgi>here</a>
</center>
</body>

の間違いです
2005/05/20(金) 09:59:59ID:7ZuQTjRm0
>>187
なるほど。
範囲指定のコピーで間違えて開いちゃって、ビビってシステムの復元とかやってました。
ありがd
2005/05/20(金) 10:20:05ID:V1NNmvu50
http://tmp5.2ch.net/test/read.cgi/download/1116524414/238-
190動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/20(金) 10:25:29ID:RuquSSC70
スレの流れ的に、昨晩は見れたよう
で、後は英語のメッセージ通りかと
2005/05/20(金) 10:32:18ID:RuquSSC70
ファイルの最終更新日:2005/05/20 07:48:33
この時間に置き換えたっぽい
2005/05/20(金) 11:25:38ID:r/ixx79T0
>>191
今朝踏んだとき右下に猫がいる暗い入力画面がでたよ。

2005/05/20(金) 12:39:19ID:RuquSSC70
>>192
アドレスは?
2005/05/20(金) 13:46:18ID:???0
再度、ITmediaで取り上げられて今回はさらに詳細な解説もしてくれています。
これで少しは減ってくれればいいんですが・・・・
(書き込み総数のデータも独自で取って掲載しています。)


亜種も登場、まだまだ2ちゃんねるを荒らし続ける「山田ウイルス」のその後 (1/3)
ttp://www.itmedia.co.jp/enterprise/articles/0505/20/news036.html
2005/05/20(金) 14:10:17ID:???0
>>194
>したがって前述のとおり、山田ウイルスによる書き込みの阻止は
>フィルタによって比較的容易に行えていた。

容易じゃなかったと思うぞー。
2005/05/20(金) 14:31:55ID:???0
>195
突っ込みどころとか色々ありますが再度警鐘を鳴らす記事を載せてくれただけでも
有り難いと思うしか
2005/05/20(金) 14:46:44ID:sTeySqvB0
現在まで放置の感染者はそういう記事には目もくれないだろうなぁ
読んだとしても自分は大丈夫とか思っていそう
2005/05/20(金) 15:41:48ID:m702rAns0
大手のウィルス対策ソフトが対応してくれれば一番手っ取り早いのにねぇ
2005/05/20(金) 16:33:03ID:iu6t0Ea30
シマンテック チン☆⌒ 凵\(\・∀・) まちくたびれたー!!
2005/05/20(金) 17:06:42ID:4f6CrVtS0
>>199
日本国内の問題な上に、P2P絡みだから放置じゃねーの
201動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/20(金) 18:36:52ID:3ETdhUPx0
山田ウイルスの最大の問題は無差別書き込みじゃなくて公開されることなんだけどな

やはり末端公務員じゃなくて首相官邸あたりで感染、公開されない限りダメか(w
2005/05/20(金) 18:41:12ID:???0
この問題の根幹はセキュリティ意識の低い人が大量にいるってところです。
だからいくら記事やプロバイダよりの注意喚起があっても自分は大丈夫だと思って放置
してると思われます。


※一昨日の挙動不審の件だけどシステム監視続行していますけど今のところ問題は
 起きてないけど引き続き監視を続行します。
2005/05/20(金) 19:02:42ID:U3X0Mtv/0
>>195/196
(∵)ノ批評は記事フィードバックしていただけると助かると中の人が言っております

これで今週末の書き込みが減りますように
2005/05/20(金) 19:24:59ID:4f6CrVtS0
>>202
P2P専用マシンで何でもこいって輩もいそうな気配
2005/05/20(金) 20:05:46ID:iu6t0Ea30
そいつは体を張った釣りだな
2005/05/20(金) 21:10:58ID:m0TkLC9W0
>>201
面白い事態に発展しそうだが、流石にアクセスは塞がれるだろうな。
2005/05/20(金) 22:26:01ID:wLqe/+St0
>>201
    ∧_∧
    ( ・∀・)ワクワク
  oノ∧つ⊂)
  ( ( ・∀・)ドキドキ
  ∪( ∪ ∪
    と__)__)
2005/05/21(土) 00:11:17ID:efkI8Q7m0
http://idol.bbspink.com/test/read.cgi/ascii2kana/1116582233/75

新種?
209動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 00:21:01ID:0xWDy/0x0
http://pc8.2ch.net/test/read.cgi/sec/1113701199/707

きた?
210動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 00:23:26ID:M6Ku2i2k0
バカじゃねーのオメーYO!
2005/05/21(土) 00:23:26ID:ME8jFLHO0
USER_AGENT絡みで、おかしいと

FOX ★ 山田ウィルス

エラーでない?
JaneでUSER_AGENTを自分で好きなのを送るタイプのやつ
ノートンは切ってる状態で
NGNG
>>211
UA弄ると出る
テストスレでいろいろ試してみるといい
2005/05/21(土) 00:30:31ID:ME8jFLHO0
>>212
ありがとう

USER_AGENTのせいか
ちなみにエラーにならないUSER_AGENTって知らないですか?
1つだけでもいいから教えてもらえるとありがたいです。。。
NGNG
名前欄にtasukeruyoやってみて
できればテストスレで
2005/05/21(土) 00:42:35ID:wnRXO8Hm0
>>214
やってみましたが、
tasukeruyoが名前になるだけで何も出てきませんでした。。
NGNG
http://qb5.2ch.net/test/read.cgi/operate/1115182148/421
こんな感じにならないかしら?ここの板でやらないと出ないよ
2005/05/21(土) 00:46:26ID:1G+qwcVR0
あ、そういうことか。
書けるようになるってことか。

でもエラーにならないUSER_AGENTが分からない。。。

Jane
NGNG
Monazilla/1.00 (JaneStyle/1.24)
こんな感じのUAにすれば大丈夫なはず
弄るからエラーになるわけで、特別UA変更が必要な事情がなければデフォでいいんでない?
2005/05/21(土) 00:52:33ID:1G+qwcVR0
>>216
あ、なるほど。他の板でやってました。
でもこれやるとIPでちゃうのね。。。orz

>>216のテストした人のUAを見ればいいのか。

どうもありがとう。

>>218
お、ありがとうございます。
220動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 01:26:08ID:VI08lbP70
すみません、質問します。

OpenJane α 0.1.11.1 を使ってるのですが、
書き込みをしようとするとこうなります↓

--------------------
書込み中・・・
--------------------
FOX ★
FOX ★ 山田ウィルス

調整中。。。

ホストYahooBB・・・・・

いつか治るだろうと思ってたのですがもうだいぶになるので・・・
対処法はありますか?
2005/05/21(土) 01:27:35ID:3tGfTFut0
>>220
ノートン切ってみた?
222220
垢版 |
2005/05/21(土) 01:32:13ID:VI08lbP70
ノートン切ったら書き込めました・・・
ありがとうございました。

ということは、
これからは書き込む時は切ることで対処すればいいのでしょうか?
2005/05/21(土) 01:36:48ID:cs6Chw2v0
>>222
【ノートン】インターネットセキュリティVer.65【自己陶酔Ver2005】
http://pc8.2ch.net/test/read.cgi/sec/1116594982/2
2005/05/21(土) 01:39:22ID:cs6Chw2v0
>>222
http://pc8.2ch.net/test/read.cgi/sec/1116594982/3
2005/05/21(土) 01:40:35ID:v9sSmONI0
USER_AGENT絡みのエラーと
ノートンのUSER_AGENT遮断によるエラーは

次スレあたりで、テンプレに欲しいね。

でも、もう次スレまではいかないか。。。
226220
垢版 |
2005/05/21(土) 01:46:40ID:VI08lbP70
これでいつものJaneから書き込めるようになりました。

かなり初歩的な質問だったようで(;・∀・)
答えてくれてありがとうございました。
2005/05/21(土) 01:49:03ID:VKREYOoB0
>>222
そういう不心得ものがいるから>>202でreffi先生が呆れているわけだが
2005/05/21(土) 02:27:52ID:08j06cgb0
とりあえず、JaneはUAいじると山田フィルタに引っかかると。
2005/05/21(土) 08:24:52ID:vzvuQ/8r0
勝手に速報値20日は48000パピコ、470人
変わらん_| ̄|○
2005/05/21(土) 08:45:45ID:Vr1f+MLE0
>>229
だからroot ★先生が言ってたろ
もう永遠になくなることはないって
2005/05/21(土) 08:53:14ID:i6lZLm7d0
いっそのこと、新鯖の耐久実験にありがたく使わせて貰ったらどうだろうか?
放っておいても勝手に書き込みしてくれるし、
ss覗きたいが為に人群がるし…だめ?
2005/05/21(土) 09:18:57ID:OyX82Mr/0
>>175
本人に荒らしている自覚があろうがなかろうが、無差別マルチポストで
荒らしている事実は変わらないのですから、通常の警告→規制コースで
対処出来ないものでしょうか?
一つのホストからの投稿試行回数だけでも週に200回以上いってる場合
もあります。
2005/05/21(土) 09:41:04ID:VKREYOoB0
>>232
それが良い。
そうすればISPも放置できないだろうし、
山田ウィルスの周知徹底も出来る。
規制解除要望で盛んに対処方法が議論される。
今のままだと山田クンの狙いの一つ、2ch攻撃は大成功。
234動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 09:54:03ID:hIGS75Ch0
>>231
ひろゆき訴えるキチガイが出るだけでしょ、裁判やって勝てるとはおもえんけどw
2005/05/21(土) 10:06:07ID:VKREYOoB0
ふと思った。
山田感染者を通常規制に切り換えれば、
セキュリティ対策の功労者としてひろぴん絶賛されるかも?
2005/05/21(土) 12:32:57ID:i6lZLm7d0
>>234
いやむしろこっちは被害者な訳だから。
攻撃受けてますー
プロバイダも対応してくれませんー
こっちもホスト数大杉てもう勘弁ー

ってことではどーでしょ?
237動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 12:40:13ID:hIGS75Ch0
http://4561143.hicat.ne.jp:11516
http://11165143.hicat.ne.jpぷぷぷ。

今度は「ぷぷぷ」かよ、、、
2005/05/21(土) 12:43:51ID:P4/KAlXk0
作者は好きな言葉をNGwordにしてもらえるんだなあ
2005/05/21(土) 12:49:59ID:Vr1f+MLE0
つーか巻き添え多すぎて3文字のNGWordは無理でしょ
/^http:\/\/.*<br>http:\/\/.*ぷぷぷ。$/
240動け動けウゴウゴ2ちゃんねる
垢版 |
2005/05/21(土) 13:51:38ID:6YLohRss0
http://ln.dyndns.tv/~ss.jpg
2412k-projects.com(81.169.170.160)
垢版 |
2005/05/21(土) 13:58:21ID:8F3SdKgY0
('A`)
Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
■ このスレッドは過去ログ倉庫に格納されています
5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。

ニューススポーツなんでも実況