★山田ウィルス対策スレ３

**ｒｅｆｆｉ@報告人 ★** · NG

ここは通称山田ウィルスの対策スレッドです。
新種の報告はこちらへお願いします。

★山田ウィルス報告スレ【ええけつしとるのぉ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1114264573/

前スレ
★山田ウィルス対策スレ【ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ】２
http://qb5.2ch.net/test/read.cgi/operate/1114695735/

■山田ウィルスとは？（ttp://nemoba.seesaa.net/article/2891535.htmlより転載）

アップローダを利用してばら撒かれているウィルスらしいです。
感染するとデスクトップのスクリーンショットと、ハードディスクに保存されているファイル
全てを、外部からダウンロード出来るようにHTTPサーバーで公開します。そのアドレスを
２ちゃんねる内の掲示板にランダムに書き込みます。

他にも、ホストファイルを書き換えて、マイクロソフトやアンチウィルスソフト会社サイト
などへのアクセスを民主党（210.253.211.2）に変更し、ウィルス定義ファイルの更新、
ウィンドウズの更新などを利用出来ないようにします。

Q.　なぜ山田？
A.　友人の山田くんがメッセで送ってきたyoujo.exeを踏んで感染したという書き込みから。
書き込みはネタだったけど、そのまま定着。

【書き込み例】（※複数の亜種があるらしいです）

　23 名前：[名無し]さん(bin+cue).rar　[sage]　投稿日：2005/04/10(日) 10:28:30 ID:WjcJ6AbX0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ
　http://○○○.○○○.○○○.○○/
　http://○○○.○○○.○○○.○○/~ss.jpg
　http://hogehoge/
　http://hogehoge/~ss.jpg

-------------------------------------------------
　247 名前：http:// （IPアドレス）/~ss.jpg　[sage]　投稿日：2005/04/11(月) 06:29:22 ID:Viw/FtIW0
　ええけつしとるのぉ(*´Д`)ﾊｧﾊｧ

　うはっｗｗｗおｋｗｗｗ？？
-------------------------------------------------

**FOX ★** · 2005/06/03(金) 19:49:20

>>649
ちと　挑戦してみますが、
bbs.cgi のかなり前方でやっとるので
情報量はすくないかも、

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 19:51:35

>>652
亜種Maker自体がｳｲﾙｽってことですか？？
まだ入手してないのですが。。

**FOX ★** · 2005/06/03(金) 19:52:21

うーむ

今考えた見たが、、、
無理かも < ログ

なぜなら
「山田」と認識できないからなのです。
あとで root ★さんにもコード見てもらって
(main の方の一番したの方です←なれあいすまん)
わいわいがやがやしてみますが、

**通報屋** ◆Y39/vakKjY · 2005/06/03(金) 19:52:47

>>654
まぁ、念のため。ってこと。
もしかしたら根本的なレベルで山田が検知できるかもしらん。
（EXE自体を作るので。）

**FOX ★** · 2005/06/03(金) 19:53:49

まだまだ改良の余地があるので
挑戦はしてみますが、

**讃岐フォアンフォアン▲** ◆MylTDX..QI · NG

乙ー

**ｒｅｆｆｉ@報告人 ★** · 2005/06/03(金) 19:58:37

>通報屋 ◆Y39/vakKjYさん

今来ている山田ウィルスが書き込む文字列ってどれくらい把握できていますか？
もしデータがあるのでしたらFOX ★さんに提供すれば精度が上がると思います。

**root▲ ★** · NG

>>655
あとで、時間とってみるです。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:04:53

>>659
通報屋さんのはどちらかと言うとPC内部での挙動やウィルスの置かれる場所
の方に詳しいデータだから、むしろプロバイダーに連絡してるｒｅｆｆｉさんの方に
有用な情報があるかもです。
（プロバイダーへの参考情報としてとかで）

**FOX ★** · 2005/06/03(金) 20:05:57

私にとってなにに快感があるかというと、
対策を考えたり、実装したり、止まったり、失敗したり
にあるわけで、説明とかなんとかは苦痛以外のなにものでもないです。
残念ながら、

つまり、大抵おざなりになってしまうのだ
ごめんね

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:07:49

FOXが謝ってる
こりゃ大地震でも来る前触れかもしれん

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:08:22

>>656
㌧くす。

なかなか流れてこないんですが・・・
ﾊｯｼｭｷﾎﾞﾝと書いてみる。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:09:16

ここで聞くことじゃないだろ

**讃岐フォアンフォアン▲** ◆MylTDX..QI · NG

FOX★はその場その場で変わる、と

**通報屋** ◆Y39/vakKjY · 2005/06/03(金) 20:11:30

>>664
つニュイルススレ 38あたり？
で。
>>659 ｒｅｆｆｉ氏の件ですが
あくまでも私が知り得る限り内部データ操作などについてなので
書き込みデーターなどは全く分かりません。
検体ごとにバージョン分けして全部実機テスト（パケットダンプ）して、
書き込みパターンを全特定すると早いかなぁと。

**root▲ ★** · NG

>>662
人それぞれなんで。

私のように、しくみを説明するのが好きな人もいるわけです。
ちと、くどいらしいですが。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:14:25

>>666
root★は何人なのか
FOX★は何人なのか　　てっことでー

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:14:56

なにじん？

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:15:22

FOX★はｼﾞｷﾙﾊｲﾄﾞ

● ◆ANGLERlqvM · NG

にんじん

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:17:34

こりゃ今日の深夜地震がくるな

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:19:10

最近地震が多いんだから不安を増大させるような行動は自重してくれよFOX★

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:20:27

多分北海道辺りに来たりして

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:20:39

>>662
「覚悟しとけよおまいら」で充分だと思うっす。
覚悟さえ出来てれば後は双方とも起きた事に対処するだけっす。

**動け動けウゴウゴ２ちゃんねる** · NG

狐の嫁入り。。。違った？

◆qb.x27/m96 · NG

楽しいと思うことを自分がするのって結構基本ですよねー
楽しくないと思う事は誰も動かないですしー

**FOX ★** · 2005/06/03(金) 20:23:27

　　　　　　　　　 ;' ':;,,　　　　　,;'':;,
　　　　　　　　　;'　　 ':;,.,.,.,.,.,,,;'　　';,山田対策tmp5に入れたけど　その後どうなのよ？
　　　　　　　　,:'　　　　　　　　　　: :､
　　　　　　　,:' ＼　,,.　､.／　ノ（ ::::::::',
　　　　　　 :'　 ●　　　　 ●　⌒ 　 :::::i.
　　　　　　 i　 '''　(_人＿)　'''' ＊　 :::::i　
　　　　　　 :　　 {+ + +}　　　　　　:::::i 　　
　　　　　　　`:,､　￣￣　　　 ::::::::: /
　　　　　　　　,:'　　　　　　　 : ::::::::::::｀:､
　　　　　　　 ,:'　　　　　　　　 : : ::::::::::｀:､

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:24:11

空爆どころか竹槍すら無し、、、つまらん（ｗ

**動け動けウゴウゴ２ちゃんねる** · NG

運用で巨大AAまで使うとは

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:24:51

今のところ、ひとつとして降ってきてない

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:25:10

>>679
ヲチスレには降ってきてないよ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:25:17

つまんないお

● ◆ANGLERlqvM · NG

何も起きてないですね。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:26:00

151 名前：心得をよく読みましょう[] 投稿日：2005/06/03(金) 20:23:21 ID:RApMWoFy
http://usen-？x248x224x19.？p-US01.usen.ad.jp:8080
http://usen-？x248x224x19.？p-US01.usen.ad.jpぷぷぷ。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:26:01

Live2chで普通に書き込みできました

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:26:27

>>679
…IEでも見てるけど、降ってないっすー

**FOX ★** · 2005/06/03(金) 20:26:28

んじゃ
全サーバに配るです

バースディ割引の予約がすんでからネ
今格闘中。。。

**動け動けウゴウゴ２ちゃんねる** · NG

まだ、電源が入っていない時間帯？
＃どうでもいいけど、AAがとっても（・∀・）ｲｲ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:26:56

>>679
Live2chでの書き込み、問題無いっす。

**root▲ ★** · NG

>>689
また、修行ですか。

● ◆ANGLERlqvM · NG

ホットゾヌ２書き込みOK

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:27:51

　 _ 　∩
(　ﾟ∀ﾟ)彡　全鯖！全鯖！
　⊂彡

**動け動けウゴウゴ２ちゃんねる** · NG

あ、勘違いしたです。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:28:33

>>679
ギコナビ異常なし

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:28:38

どう変わったのか分からないくらい、何もないです。（専ブラも）
おつかれさまです。

**お茶定期便** ◆TGikoDEnw6 · 2005/06/03(金) 20:29:04

ギコナビ、tmp5サーバ書き込みOKです。
b50 ビルド575

**通報屋** ◆Y39/vakKjY · 2005/06/03(金) 20:29:26

ぎゃ・・・トリップ間違えた＿|￣|○

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:29:59

>>698-699
(･∀･)ﾆﾔﾆﾔ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:30:10

通報屋さん、HN…

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:30:48

Google 検索: お茶定期便 ◆TGikoDEnw6
http://www.google.com/search?hl=ja&lr=lang_ja&ie=sjis&q=%82%A8%92%83%92%E8%8A%FA%95%D6%20%81%9FTGikoDEnw6
（´･ω･）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:31:13

しらないフリしてれば気づかれなかったかもしれないのに(´・ω・) ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:31:36

（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:32:14

コレがヒューマンエラーという物だ（ｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:32:15

ほほぅこれはこれは

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:33:23

（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:34:04

>>699
kawaisosu wikiの番外編行きかな？これは。
（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:34:05

ほうほう　河合ソース

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:34:56

むふふ

◆TWARamEjuA · NG

わくどきてか♪

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:37:29

ギコナビ関係・・・・（´･ω･）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:38:36

（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:38:57

ｷﾞｺ開発者？（´・ω・）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:39:44

http://cgi36.plala.or.jp/bargiko/bargiko.cgi?roomID=1116917002227

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:40:10

中の人自爆（´･ω･）ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:41:38

http://genyakun.dyndns.org/test/read.cgi/hide/1096983495/365

**FOX ★** · 2005/06/03(金) 20:45:40

くばった

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:46:14

おつかれさまです

**通報屋** ◆Y39/vakKjY · 2005/06/03(金) 20:47:12

>>718
乙で（´・ω・）ｽ

**讃岐フォアンフォアン▲** ◆MylTDX..QI · NG

ﾜﾛﾀ

**FOX ★** · 2005/06/03(金) 20:50:19

あと他に問題になっている事はありましたっけ?

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:52:11

これとか似たような感じで弾ける？
【gazo-tiger】広告書き込み対策
http://qb5.2ch.net/test/read.cgi/sec2chd/1116436664/

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:52:37

ﾃﾗﾜﾛｽｗｗｗ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:53:20

tmp5を20秒制限に戻して欲しいと思ってたけど、問題じゃないからいっか。

**讃岐フォアンフォアン▲** ◆MylTDX..QI · NG

>>722
これ終わったらシベリアかp2のスレに来てー

**FOX ★** · 2005/06/03(金) 20:54:20

たんに広告であれば
1) Rockで対応
2) ひどかったら Rock はずしてログ取り　→　ホストで規制
3) 誘ってくれればログ堀します。

という流れで、

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:55:20

http://64.net220148134.t-com.ne.jp/~ss.jpg

(´・ω・)ｶﾜｲｿｽ

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 20:55:44

ご・・・誤爆 orz

**FOX ★** · 2005/06/03(金) 20:55:49

>>726
p2 も >>727 同じ流れかと、

サーバからだったら deny というところだけが違うかも、

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:03:12

まこべえ何買うんだよ

**讃岐フォアンフォアン▲** ◆MylTDX..QI · NG

http://qb5.2ch.net/test/read.cgi/operate/1116397215/240-

FOX★ここもよろ

**FOX ★** · 2005/06/03(金) 21:13:37

240 ：root▲ ★：2005/05/24(火) 22:41:25 ID:???0 ?## 　　　New!!
あとは、
p2.razil.jp のIPアドレスからの書き込みだったら、
IDの種とかいろいろの鍵を、User-Agent の p2-user: から
生成するようにすればいいのかな。

**FOX ★** · 2005/06/03(金) 21:14:22

のことかな?

穴ありまくりかと、
UAを信じるコードは実装しないが吉

p2.razil.jp(210.135.97.178) · NG

これこれ

Monazilla/1.00 (P2/p2.2ch.net; p2-client-ip: 222.7.56.147; p2-user: 52753)

**FOX ★** · 2005/06/03(金) 21:17:18

んだから
UAをどうたらのコードは書かないってばさ、私

**讃岐フォアンフォアン▲** ◆SANUKIvwUE · NG

>>734をするーしてたーFOX★すまそー

**root▲ ★** · NG

>>734
それは、
他の(UAじゃなくてそれなりに信用できる別の方法で)p2.2ch.netがbbs.cgiに伝えてくれれば
こっち側はたんたんとそれを使いますよ、ってことかと。

ということで、以降は別スレかしら。

**ニュイルス・スレ住人** · 2005/06/03(金) 21:21:40

nyでばら撒かれるものとは関係ないのだが、

山田亜種は通報屋氏の指摘するように毎週、いや毎日のごとく
発生してるよ(なにせ、書き込み内容の変異体なぞ、バイナリ
書き換えだけでもいいんだし、厨房テクで十分)

菓子食わしてるんだから、それで127.0.0.0見に行かせるようには
できないよなぁ…

**root▲ ★** · NG

うわ、だめだ。
またなんか説明っぽいし。

**FOX ★** · 2005/06/03(金) 21:23:52

あともっと根本的に
処理を別のサーバへ分散して掲示板用のサーバのキャパシティを上げて
運用してきたわけだ、それに逆行することは私はやらないっす。

**FOX ★** · 2005/06/03(金) 21:25:23

>>739　みたいな発言こそがとっても重要なわけで、
それはただの雑談に大抵は隠れているですよ　>雑談きらいな人

**root▲ ★** · NG

>>741
なるほど。

この話おもしろいので、
以降、あっちで。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:28:48

>>740
rootﾀﾝらしさなんだし、いいんじゃん。

**root▲ ★** · NG

>>739
で、戻るか。

それは、山田っぽい書き込み要求を何かの手段で
127.0.0.0とかに振り向けちゃうってことですかね。

**root▲ ★** · NG

>>744
持ち味なんで、気にしないことにしてるですよ。

で、>>745 みたいなかんじで。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:30:39

127.0.0.1じゃないの？

**動け動けウゴウゴ２ちゃんねる** · NG

if($FORM{'MESSAGE'} =~ /$ENV{'REMOTE_ADDR'}/)
じゃ駄目？

**root▲ ★** · NG

>>747
127.0.0.1 だと、場合によってはそのPCがおかしくなるですね。
どこにもつながらないアドレスってのが、ポイントかと。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:32:36

>>749
そうなんですか、すみません。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:34:49

>>742
(*´Д`) <　名前で情報を取捨選択しない人だけが気がつく情報って大事ですよね。

**動け動けウゴウゴ２ちゃんねる** · 2005/06/03(金) 21:35:30

おかしくしちゃうぐらいで良いのではないかと…