★山田ウィルス対策スレ３

**ｒｅｆｆｉ@報告人 ★** · NG

ここは通称山田ウィルスの対策スレッドです。
新種の報告はこちらへお願いします。

★山田ウィルス報告スレ【ええけつしとるのぉ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1114264573/

前スレ
★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】２
http://qb5.2ch.net/test/read.cgi/operate/1114695735/

■山田ウィルスとは？（ttp://nemoba.seesaa.net/article/2891535.htmlより転載）

アップローダを利用してばら撒かれているウィルスらしいです。
感染するとデスクトップのスクリーンショットと、ハードディスクに保存されているファイル
全てを、外部からダウンロード出来るようにHTTPサーバーで公開します。そのアドレスを
２ちゃんねる内の掲示板にランダムに書き込みます。

他にも、ホストファイルを書き換えて、マイクロソフトやアンチウィルスソフト会社サイト
などへのアクセスを民主党（210.253.211.2）に変更し、ウィルス定義ファイルの更新、
ウィンドウズの更新などを利用出来ないようにします。

Q.　なぜ山田？
A.　友人の山田くんがメッセで送ってきたyoujo.exeを踏んで感染したという書き込みから。
書き込みはネタだったけど、そのまま定着。

【書き込み例】（※複数の亜種があるらしいです）

　23 名前：[名無し]さん(bin+cue).rar　[sage]　投稿日：2005/04/10(日) 10:28:30 ID:WjcJ6AbX0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ
　http://○○○.○○○.○○○.○○/
　http://○○○.○○○.○○○.○○/~ss.jpg
　http://hogehoge/
　http://hogehoge/~ss.jpg

-------------------------------------------------
　247 名前：http:// （IPアドレス）/~ss.jpg　[sage]　投稿日：2005/04/11(月) 06:29:22 ID:Viw/FtIW0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ

　うはっｗｗｗおｋｗｗｗ？？
-------------------------------------------------

**ｒｅｆｆｉ@報告人 ★** · 2005/05/20(金) 18:41:12

この問題の根幹はセキュリティ意識の低い人が大量にいるってところです。
だからいくら記事やプロバイダよりの注意喚起があっても自分は大丈夫だと思って放置
してると思われます。

※一昨日の挙動不審の件だけどシステム監視続行していますけど今のところ問題は
　起きてないけど引き続き監視を続行します。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/20(金) 19:02:42

>>195/196
(∵)ﾉ批評は記事フィードバックしていただけると助かると中の人が言っております

これで今週末の書き込みが減りますように

**動け動けウゴウゴ２ちゃんねる** · 2005/05/20(金) 19:24:59

>>202
P2P専用マシンで何でもこいって輩もいそうな気配

**動け動けウゴウゴ２ちゃんねる** · 2005/05/20(金) 20:05:46

そいつは体を張った釣りだな

**動け動けウゴウゴ２ちゃんねる** · 2005/05/20(金) 21:10:58

>>201
面白い事態に発展しそうだが、流石にアクセスは塞がれるだろうな。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/20(金) 22:26:01

>>201
　　　　∧＿∧
　　　（　・∀・）ﾜｸﾜｸ
　　oノ∧つ⊂）
　　(　（　・∀・）ﾄﾞｷﾄﾞｷ
　　∪（　∪ ∪
　　　と＿_）__）

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:11:17

http://idol.bbspink.com/test/read.cgi/ascii2kana/1116582233/75

新種？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:21:01

http://pc8.2ch.net/test/read.cgi/sec/1113701199/707

きた？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:23:26

バカじゃねーのオメーＹＯ！

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:23:26

USER_AGENT絡みで、おかしいと

FOX ★　山田ウィルス

エラーでない？
JaneでUSER_AGENTを自分で好きなのを送るタイプのやつ
ノートンは切ってる状態で

**動け動けウゴウゴ２ちゃんねる** · NG

>>211
UA弄ると出る
テストスレでいろいろ試してみるといい

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:30:31

>>212
ありがとう

USER_AGENTのせいか
ちなみにエラーにならないUSER_AGENTって知らないですか？
１つだけでもいいから教えてもらえるとありがたいです。。。

**動け動けウゴウゴ２ちゃんねる** · NG

名前欄にtasukeruyoやってみて
できればテストスレで

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:42:35

>>214
やってみましたが、
tasukeruyoが名前になるだけで何も出てきませんでした。。

**動け動けウゴウゴ２ちゃんねる** · NG

http://qb5.2ch.net/test/read.cgi/operate/1115182148/421
こんな感じにならないかしら？ここの板でやらないと出ないよ

bt80.ade3.point.ne.jp(210.224.45.80) · 2005/05/21(土) 00:46:26

あ、そういうことか。
書けるようになるってことか。

でもエラーにならないUSER_AGENTが分からない。。。

Jane

**動け動けウゴウゴ２ちゃんねる** · NG

Monazilla/1.00 (JaneStyle/1.24)
こんな感じのUAにすれば大丈夫なはず
弄るからエラーになるわけで、特別UA変更が必要な事情がなければデフォでいいんでない？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 00:52:33

>>216
あ、なるほど。他の板でやってました。
でもこれやるとIPでちゃうのね。。。orz

>>216のテストした人のUAを見ればいいのか。

どうもありがとう。

>>218
お、ありがとうございます。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:26:08

すみません、質問します。

OpenJane α 0.1.11.1 を使ってるのですが、
書き込みをしようとするとこうなります↓

--------------------
書込み中・・・
--------------------
FOX ★
FOX ★　山田ウィルス

調整中。。。

ホストYahooBB･････

いつか治るだろうと思ってたのですがもうだいぶになるので･･･
対処法はありますか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:27:35

>>220
ノートン切ってみた？

**220** · 2005/05/21(土) 01:32:13

ノートン切ったら書き込めました･･･
ありがとうございました。

ということは、
これからは書き込む時は切ることで対処すればいいのでしょうか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:36:48

>>222
【ﾉｰﾄﾝ】ｲﾝﾀｰﾈｯﾄｾｷｭﾘﾃｨVer.65【自己陶酔Ver2005】
http://pc8.2ch.net/test/read.cgi/sec/1116594982/2

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:39:22

>>222
http://pc8.2ch.net/test/read.cgi/sec/1116594982/3

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:40:35

USER_AGENT絡みのエラーと
ノートンのUSER_AGENT遮断によるエラーは

次スレあたりで、テンプレに欲しいね。

でも、もう次スレまではいかないか。。。

**220** · 2005/05/21(土) 01:46:40

これでいつものJaneから書き込めるようになりました。

かなり初歩的な質問だったようで(；・∀・)
答えてくれてありがとうございました。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 01:49:03

>>222
そういう不心得ものがいるから>>202でｒｅｆｆｉ先生が呆れているわけだが

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 02:27:52

とりあえず、JaneはUAいじると山田フィルタに引っかかると。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 08:24:52

勝手に速報値20日は48000パピコ、470人
変わらん＿|￣|○

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 08:45:45

>>229
だからroot ★先生が言ってたろ
もう永遠になくなることはないって

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 08:53:14

いっそのこと、新鯖の耐久実験にありがたく使わせて貰ったらどうだろうか？
放っておいても勝手に書き込みしてくれるし、
ｓｓ覗きたいが為に人群がるし…だめ？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 09:18:57

>>175
本人に荒らしている自覚があろうがなかろうが、無差別マルチポストで
荒らしている事実は変わらないのですから、通常の警告→規制コースで
対処出来ないものでしょうか？
一つのホストからの投稿試行回数だけでも週に200回以上いってる場合
もあります。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 09:41:04

>>232
それが良い。
そうすればISPも放置できないだろうし、
山田ウィルスの周知徹底も出来る。
規制解除要望で盛んに対処方法が議論される。
今のままだと山田クンの狙いの一つ、2ch攻撃は大成功。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 09:54:03

>>231
ひろゆき訴えるキチガイが出るだけでしょ、裁判やって勝てるとはおもえんけどｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 10:06:07

ふと思った。
山田感染者を通常規制に切り換えれば、
セキュリティ対策の功労者としてひろぴん絶賛されるかも？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 12:32:57

>>234
いやむしろこっちは被害者な訳だから。
攻撃受けてますー
プロバイダも対応してくれませんー
こっちもホスト数大杉てもう勘弁ー

ってことではどーでしょ？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 12:40:13

http://4561143.hicat.ne.jp:11516
http://11165143.hicat.ne.jpぷぷぷ。

今度は「ぷぷぷ」かよ、、、

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 12:43:51

作者は好きな言葉をNGwordにしてもらえるんだなあ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 12:49:59

つーか巻き添え多すぎて3文字のNGWordは無理でしょ
/^http:\/\/.*<br>http:\/\/.*ぷぷぷ。$/

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 13:51:38

http://ln.dyndns.tv/~ss.jpg

2k-projects.com(81.169.170.160) · 2005/05/21(土) 13:58:21

('A`)

Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 14:16:08

このウィルスは、P2Pをやってなくて、
あぷろだに近づかないような人には関係ないウィルスなんでしょうか？
そこら辺がよく分からなくて怖いんです。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 14:22:01

とりあえずここはそういうの質問するスレじゃないからPC初心者かダウソにでも行って
聞いてくれ
FAQが貼ってあるのはあまりに質問が後を絶たないから仕方なく用意しただけ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 14:25:31

>>242
微妙。回線を切って、大人しくしてるのが一番かと。

それにしても、どんどん亜種が出てきてるね。
保守あげしたスレにその亜種が付いてきた。
運営も大変だろうけど、ガンガって

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 14:44:40

保守ならageなくていいと思われ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 14:47:40

>>243
すいません、以後気をつけます。

>>244
丁寧なレスをどうもです。
やっぱ二次感染するかもなんですね。
非常に迷惑だし怖い。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 15:39:20

>>232
週200どころか20日のデータだけで90人ほど200投稿以上となってる。

1x日に限って集計してみると、延べIPが2600。さらに200x10として
2000フィルタ以上が55、ワーストは6500フィルタという書き込み魔。
つけっぱなしマシンで感染しとる( ;ﾟДﾟ)

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 15:44:13

最近は常時接続だから、みんなつけっぱなしだろうな。
しかもP2P走らせっぱなしだから、余計につけっぱなしマシンが多い。

迷惑な話だが、ある意味当然の結果かもしれない。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 16:21:39

Yamada20050520取得してみたら、
初期型だけなのに20,000もあったんだけど…感染しっぱなかよ、情けない。
6,500の香具師なんか、明らかにPCが挙動不審だろうに。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:05:40

上の二次感染の意味がよくわからないのですが…
このウィルスは２ちゃん見てただけで感染しますか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:05:56

Windowzなんか投げ捨てて、Unix Linux Mac 携帯にする
これで解決

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:12:03

ﾔﾌのﾄｯﾌﾟに出る程被害出てるのか？
今の２ちゃん利用者ならﾜｶﾗﾝでもないが…ｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:12:16

ｳﾌﾟＷＷ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:20:45

見ただけでは感染しないようなので安心しました
それにしても怖いですね

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:22:59

トレンドマイクロ社によると

他の不正プログラムを介して侵入
悪意のWebサイトを介して侵入

うーむ。悪意のWebサイトってどこだろう・・・

黒猫 ◆bBolJZZGWw · NG

＞＞1 名前：ｒｅｆｆｉ@報告人へ
　もりたぽあげるからトリップ正確に＃つけてだしてください。
　そしてプロフィ－ルも正確に出して：コピーしてください。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:25:32

ここまで頭の悪い書き込みを見たのはD員以来だ。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:37:11

携帯で山田ウイルス開いちゃったんですけど問題あります？？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:38:42

あるわけない。
っていうか開けるのか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:38:46

>>258
（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 21:42:45

>>259
どうもです！！

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 22:34:36

すいません、ヤフーのニュースで
　より確実にチェックを行うならば、Windows 2000／XPの場合はコマンドプロンプトから
「netstat -a」を実行し、httpのLISTENING表示がないか確認するのがよいだろう。
もしこうした文字列があれば、Webサーバの類が動作していることになる。

とあったんですがこれは右側がLISTENINGで真ん中の所にhttpが無かったら
感染してないということなんですかね？
聞いてしまってすいません・・・

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 22:48:23

おそろしいな、しかしなぜ「民主党」なんだろう？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 22:51:45

>>262
スレ違い

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 23:19:37

すいませんでした・・・
他で聞いてみます
ありがとうございました

**動け動けウゴウゴ２ちゃんねる** · 2005/05/21(土) 23:30:28

157 ：[名無し]さん(bin+cue).rar ：2005/05/21(土) 23:26:14 ID:VNuCKg6W0
>>136
自鯖に山田砲撃ってログみてみた。(googleを開くように指示)
山田ウイルスにコマンド実行機能があるみたいだね。
GET /~cmd=\"explorer.exe%20\"http://www.google.co.jp/\"\" HTTP/1.0

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 00:24:04

山田ウィルスチェックツールがあるようです
ttp://blog.livedoor.jp/antiny_virus/archives/22674080.html

恐らく安心できるものとは思いますがどうなんでしょ？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 00:35:24

>>267
異常なし

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 00:45:52

>>262
これさ、ITmediaの記事にあったけど、俺も鯖たてたことないから実際どうでるのかわかんないんだよね。
確認のために、どういう表示になれば感染しているか教えて欲しい。それで、いろいろなスレに張れば感染に気づく人もいるかもしれないし・・・。
スレ違いとは思わないんだけどな～。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 00:56:56

感染してしまったPCから、
山田ウィルスを駆除する方法がわからないのですが？
現在別のPCでつないでいます。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 00:57:26

ここは山田ウィルスによる無駄な転送量・負荷対策であって、
個々の対策はDownloadじゃないかな。

☆　　山田ウィルス対策スレッド　　☆
http://tmp5.2ch.net/test/read.cgi/download/1115621317/

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:00:40

>>269
netstatは接続してこなければ表示されない。
だから感染してても通常と変わらないことも多い。

確実なのはhostsファイルを確認すること。
hostsを検索して、メモ帳にドラッグね。
内容に↓のサイトに書かれているアドレスがずらずらと書かれていたら感染。
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ_MELLPON.L&VSect=T

これでどうよ？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:03:01

Media Player Classic 8th
http://pc8.2ch.net/test/read.cgi/win/1109440589/958
> 958 名前：名無し~3.EXE[sage] 投稿日：2005/05/21(土) 22:24:17 ID:vY8QV53Y
> http://49uper.com:8080/html/img-s/59899.zip
> xp2k。お気に入りはいらないので消した。欲しきゃ自分でなんとかしな。
> 俺訳未訳あり。嫌なら自分で(ry。叩かれるのわかってるからこれで消える。ﾉｼ

中身は山田らしいです。一応報告っと

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:09:57

>>272
あら、なかなかいい方法じゃない。
早速試してみますか。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:53:32

ちょっとテスト。

ca23250.hicat.ne.jp · 2005/05/22(日) 01:54:56

ミスったのでもう一回テスト。(メル欄じゃなかったorz)

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:55:54

テストはテスト専用スレでやりましょう

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:59:21

ガイシュツかな？
http://headlines.yahoo.co.jp/hl?a=20050521-00000001-zdn_ep-sci

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 01:59:42

すみません。同じプロバイダーの人があがってたので・・・。
ところで、http://tmp5.2ch.net/test/read.cgi/download/1116667812/52　は新種ですか？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 02:06:02

>279
そこに「FWのテスト」とあるではないか

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 02:24:33

初心者ですみません
とりあえずhosts書き換えられてなかったら感染はしていないってことでいいんですよね？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 03:23:53

>>281
>>271

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 03:36:45

21日勝手に速報値
　　　　　　l≡l
　　　　┌┤│
　　　　└┤│
　　　　　ﾉ　丶
　　　　（ (,,ﾟДﾟ)　＜54000パピコ
　　　　 │∪ │つ
　　　～（(((　 ))）
　　　　　 U￣∪
＿|￣|○

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 03:38:31

ＮＯＤ３２、もう対応してる？

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 04:59:55

要するにこのウイルスは、貼ってあるＵＲＬをクリックしたら
感染するということですか？

ニムダみたいに見ただけで感染するというわけではないのですね。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 05:09:11

レトロゲーム板のこれってどうなんでしょうか？

【山田】攻略できないﾚﾄﾛｹﾞｰﾑを皆でｸﾘｱしよう【神】
http://game9.2ch.net/test/read.cgi/retro/1116432360/

ただの糞スレならいいのですが

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 06:06:32

>>285
釣りなんだか真性なんだか判らん（　　　　　´　　　　　・　　　　　ω　　　　　・　　　　　）ｶﾜｲｿｽ
貼ってあるURLはサーバー立てている状態。
自業自得。

**動け動けウゴウゴ２ちゃんねる** · 2005/05/22(日) 06:52:10

http://pc8.2ch.net/test/read.cgi/sec/1111917202/691
http://p32？？-ads？？douj？b5-acca.osaka.oc？.？？.jp:23742
http://p32？？-ads？？douj？b5-acca.osaka.oc？.？？.jpぷぷぷ。

伏字入り