★ Share / Upchan 報告スレッド
■ このスレッドは過去ログ倉庫に格納されています
・アップローダにあげられた(偽装)exeを不用意に実行させてしまい、
２ちゃんねるに自動投稿(デスクトップ晒しやクリップボート晒し)するウィルスがあります。
・Shareのバッチファイルに偽装したexeファイルもあるようです。
これらを情報収集するための報告専用スレッドです。
・質問などはこちらへ
【規制議論板】質問でも雑談でもOK牧場のスレッド13
http://qb5.2ch.net/test/read.cgi/sec2chd/1095412945/l50
>>2-5 このウィルスについての説明 http://qb5.2ch.net/test/read.cgi/operate/1085757465/438
２ちゃんねるWikiに更新の申請しました。
突っ込み所がありましたら上のスレにお知らせください。
落ちます。
ﾉｼｼ そろそろ待ちくたびれてきましたよ
＝≡＝ ∧＿∧ ☆
／ . （・∀・ ）／ / チン
〆 .―⊂ つ∈≡∋
|| γ ⌒ヽヽコノ ||
|| .｜ |:::|∪〓 .||
.／|＼人 ＿.ノノ _||_. ／|＼
>>32-33
解除されてない か 「】〜ｱｯﾌﾟﾛｰﾀﾞ〜【」となってないあっぷろだスレは無視なのかも >>40
あわわわー。
二重にさくらされてましたー（汗）。
もう片方も解除しましたー（汗）。 なんか、「ｷﾀ━━━━(ﾟ∀ﾟ)━━━━ｯ!! 」
の方が多いよーなー（汗）。 ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━ !!!!
ばっかり ちょっと 様子見して
対策第一弾を考えてみる予定。 今の状況認識してながら放置ってやばくないのか？
あんま法律詳しくないからよくわかんないんだけどさ。。
50=感染者とか無しな。 >>53
２ちゃんねるに爆撃並みの投稿があるのでその対策をする
それ以下でもそれ以上でもないような希ガス はやすぎて、うｐロダがついて行けてない。
画像がかぶってるね。 >>53
苺キンタマ関連スレを読む限りでは
うｐ先変更した亜種がすぐ作れるみたいなんで
全部のうｐろだ落とす事になりかねない >43
削除したつもりが延長になってました。すんません。 （*・(ェ)・）つAirRock ★
（*・(ェ)・）ｹﾞﾌ ★ |∀・)＜ｷﾀｰをさくらにしてs
|∀ﾟ)･∵. ﾀｰﾝ すみません、懺悔します。
4回くらいｷﾀｰ言いました。ｽﾏｿ…orz これが根本的な対策になればよいのだけど……。
半角二次元のタイプは、最初は「苺アップローダ」というその道では有名なアップローダにあげられたらしい。
苺の管理人と連携をとって、アップした人を追っていこうというのは……、多分駄目だよね。
こんなexeを作る人だから、最低でも串経由でアップして身元を隠しているだろうな。(;^ ^
(それどころかもっと高度なことをやっているかもしれない)
>>74
そしたら、他のさくら分も解除してみますー。 >>75
そんなことする必要ない。
２ちゃんねるに直接の利害がなけりゃ、
「見てるだけ〜」が基本だ。
cgiいじって終了。 第一ラウンドということかなぁ、
また 発生するだろあなぁ・・・
はぁ 2chバイダのロダに投稿できなくする対策はスレ違い？ >>75
多分そういった事は個人的に苺や２ｃｈあぷろだ管理人にメールしてみればいいと思うよ >75
何か勘違いしてるな。それをして誰の利益になるんだ？
んな事はそれで飯を食ってる奴に任せればいいことだ。
頑張って京都府警にでも投書しておけ。 >85で
やな物を見てしまった・・・
ＩＳＰに通報するかな >>89
今回のデータを集めて対策したのは Upchanであって Shareではない
あと>85は時間が古い
最低限 09/24 01:30以降に投稿してあるものが対象 >>96
いえー。>>94はOperateだから止まってないだけだと思いますー。
その投稿対応のさくらも解除してありますけどー、>>10の各スレには、
21時以降の追加は、今のところ無いみたいですー。 http://news16.2ch.net/test/read.cgi/scienceplus/1095696790/24
名前：***＠Share使用中 ◆i.ESDXOLYY [] 投稿日：04/09/24 10:38:46 ID:lG/dTPMB ttp://science3.2ch.net/test/read.cgi/rikei/1095401696/27 09/24 10:38:58 325 ：[名無し]さん(bin+cue).rar ：04/09/24 19:35:39 ID:r62Gjm8M
http://syobon.zive.net:85/src/syobon9104.jpg
現在のうｐろだの状況
なんで鯖落ちしないんだろこれ
さっきからリロード終わるまで今までかかった http://news16.2ch.net/test/read.cgi/scienceplus/1095696790/28
名前：dion.ne.jp＠Share使用中 ◆i.ESDXOLYY 04/09/24 22:58:37 ID:2UUffw7s http://travel2.2ch.net/test/read.cgi/oversea/1083663743/125-126
125 名前：ZO244150.ppp.dion.ne.jp＠Share使用中 ◆i.ESDXOLYY [] 投稿日：04/09/24(金) 22:02:39 ID:Bp+GOAfo
126 名前：ZO143093.ppp.dion.ne.jp＠Share使用中 ◆i.ESDXOLYY [] 投稿日：04/09/25(土) 00:44:51 ID:Hh0e7dbw これらも２ちゃんねるに自動的に書き込むんですか?
そうだとしたら、現在の頻度はどれくらいかしらん ttp://www.symantec.com/region/jp/avcenter/venc/data/pf/jp-trojan.upchan.html
> ３．感染先システムのスクリーンショットを撮影し、それを
> 次の Web サイトにアップロードします。
> http:/ /up.isp.2ch.net/upload/c=03okari/index.cgi
> ４．次の URL で公開されているリストからランダムに選択
> した掲示板に、感染先システムのコンピュータやユーザ名、
> ならびにスクリーンショットへのリンクを掲載します。
> http:/ /www.ff.iij4u.or.jp/~ch2/bbstable.html
被害状況は「低」となってますが、すでに顧客の個人情報をうｐしてしまっている
（と思われる）例も多く、詳しくは大人の実況板参照で。
http://sakura02.bbspink.com/erolive/ klist には 04/09/24 10:39:00 〜 04/09/25 03:35:27 の間に 50 回記録あり。
dion.ne.jp だけです。
tmp4.2ch.net 04/09/25 03:35:27 y*.ppp.dion.ne.jp
tmp4.2ch.net 04/09/25 03:34:14
tmp4.2ch.net 04/09/25 03:33:51
tmp4.2ch.net 04/09/25 03:33:27
tmp4.2ch.net 04/09/25 03:33:03
tmp4.2ch.net 04/09/25 03:32:39
tmp4.2ch.net 04/09/25 03:32:15
tmp4.2ch.net 04/09/25 03:31:51
tmp4.2ch.net 04/09/25 03:31:27
tmp4.2ch.net 04/09/25 03:31:04
pc5.2ch.net 04/09/25 03:31:03
travel2.2ch.net 04/09/25 03:31:01 y*.ppp.dion.ne.jp
tmp4.2ch.net 04/09/25 00:50:38 Z*.ppp.dion.ne.jp
tmp4.2ch.net 04/09/25 00:50:14
tmp4.2ch.net 04/09/25 00:49:50
tmp4.2ch.net 04/09/25 00:49:26
tmp4.2ch.net 04/09/25 00:48:59
tmp4.2ch.net 04/09/25 00:48:07
tmp4.2ch.net 04/09/25 00:47:43
tmp4.2ch.net 04/09/25 00:47:19
tmp4.2ch.net 04/09/25 00:46:55
tmp4.2ch.net 04/09/25 00:46:31
tmp4.2ch.net 04/09/25 00:46:07
tmp4.2ch.net 04/09/25 00:45:43
tmp4.2ch.net 04/09/25 00:45:19 Z*.ppp.dion.ne.jp
俺のクリップボードを検索しますた。 46スレ そのクリップボードのなんちゃらかんちゃらって
晒されても全く意味がわかんないので自分的には無害なんですが
いったい書き込まれてる文字列にはなんの意味があるんでしょうか？？ >>113
ファイルとか画像とかのデータじゃないですかねー。
メールに添付してあるもののソースって、
そーゆー意味不明な文字列ですしー。
Rockはしてるんですがー、繋ぎ変わっちゃうので
３レスは毎回書けちゃってるみたいですねー。 >>109
2ちゃんには自動的に書き込まれない
ロダにうpられるだけ >>115
そうなんですか、
んじゃ 「皆で楽しく見守ろう」だすな、 >>115
それってupchan？の方でないの？
>>112みたいなのは２ｃｈに直接書き込まれてるけど。。。 >>113
クリップボードの内容だから、テキストをコピー＆ペーストした内容が晒される。
訳わかんなくなってる奴は、バイナリか何か、アプリの固有形式だろうが、
見る人が見れば解るのかも知れん。 なんか、2種が混乱しているようですね。。。
◆Trojan.Upchan（苺きんたま）
2chうｐろだへのアップは継続していますが、
２ちゃんねるへの自動投稿は、>>74の対策で止まっています。
◆Shareウイルス
２ちゃんねるへの自動投稿は、止まっていません。
>>85以降の報告は、Shareのぶんです。
（ちなみに「俺のクリップボード」の内容は、Shareのノードリストが大半かと） 掲示板に直で書き込まれないと動かないと思われ。
>>119
スレ違いになるけどたぶんハッシュ。 ◆Trojan.Upchan（苺きんたま）
◇感染源
アップローダに画像やツールとして上げられたzipファイル
（初期はstrawberry.web-sv.comのロリコン画像、
派生種はpicopico.dip.jp等に上げられたRO用マクロなど）
◇症状
1)8分毎にスクリーンショットを撮影し、http://up.isp.2ch.net/upload/c=03okari/index.cgiにアップロード
2)半角二次元板のスレタイに「アップローダー」を含むスレッドに、PCの環境変数とスクリーンショットへのリンクを自動投稿
─投稿例──────────────────────────
26 私は苺で違法ダウンロードばかりしている犯罪者です [**********:**回目] 04/09/25 11:11:15 ID:********
私は苺で違法ダウンロードばかりしている犯罪者です
【コンピュータ名】********
【ユーザー名】********
【今こんな事やってます】http://v.isp.2ch.net/up/************.jpg
──────────────────────────────
◆Shareウイルス
◇感染源
Shareのプラグインを装ったファイル
◇症状
1)予め指定されたスレッドに、fusianasanでクリップボードの内容(無ければPCの環境変数)を自動投稿
（書き込み内容は何度か変化しているが、fusianasanと、Share云々という文言が共通）
─投稿例(最新版)──────────────────────
26 *****.***.ne.jp＠Share使用中 ◆i.ESDXOLYY 04/09/25 11:11:15 ID:********
{Now!}俺のクリップボード(50byte 10行抜粋版, テキストデータ)
*******************
──────────────────────────────
26 *****.***.ne.jp＠Share使用中 ◆i.ESDXOLYY 04/09/25 11:11:15 ID:********
{Now!}俺のクリップボード(50byte 10行抜粋版, 何もコピーしてません)
〜何も無いので環境変数晒し〜
コンピュータ名: ********
ユーザー名: ********
──────────────────────────────
─投稿例(旧版)───────────────────────
121 *****.***net [晒しage] 04/09/13 10:01:55 ID:???
俺でさえもShare使ってるよ
─投稿例(旧版)───────────────────────
145 *****.***.net＠ウィルス感染中 [ｓage] 04/09/23 13:36:16 ID:********
例に寄って例のごとく Share 使ってます
────────────────────────────── 出遅れた＆間違えた
鬱山車脳
目下の所shareウイルスが2chに負荷をかけてる >>123
> 目下の所shareウイルスが2chに負荷をかけてる
苺きんたまは、祭で2chに負荷をかけてる(w >>124
自己レス。
どちらかというと、こうかな？
× 2chに
○ bbspinkに
ちゃんと実況板でやってるとこが真面目だな(w
おい Shareウィルス(SafeShare)をプラグインだってデマ流しているやつはどこのドイツだ？
パッチとうたった.exe形式のファイルだ。だから名前変えて配布したらShareユーザでなくても被害にあう。
----------------------------------------------
186 ：[名無し]さん(bin+cue).rar ：04/09/19 16:36:40 ID:pf4Z57uN
【アプリ】【パッチ】 Share(仮称)保護パッチ ver.0.2 SafeShare.lzh 769,843 37c93a5e4e8692cea5638ec0a429a10ad82ec46a
これ使った人いる？
190 ：[名無し]さん(bin+cue).rar ：04/09/19 17:36:26 ID:pf4Z57uN
実行するとDOS窓が開く
リモートホストtmp4.2ch.netに通信しようとする。
通信を拒否すると、DOS窓に「エラーが発生したのでウィンドウを閉じてください」と出る。
readmeのコピペ
[ Safe Share ver0.2 ]
- Share(仮称)保護パッチ -
Shareも将来Winnyみたいに解読される事だろうから、
先に保護パッチ作りました。Safenyのパクリです、はい。
[ 使い方 ]
めんどい設定は一切必要ありません。
Share.exeがあるフォルダにぶち込んで SafeShare.exe を起動するだけ。
パッチを当てる時は、Share.exeを終了した状態で行って下さい。
バージョンは A45 〜 A51b に対応。
多分それ以上のバージョンでも使えるはず。
SafeShare.exe が通信を開始する場合がありますが、許可して下さい。
処理が正常に終了した場合は、画面に
○ 成功
処理は全て終了しました。
ウィンドウを閉じて下さい。
みたいな感じで表示されます。
SafeShare.exe を起動しても一瞬で窓が消える場合は、
何度も起動しなおして下さい(汗
---------------------------------------
× 失敗
---------------------------------------
と表示された時は諦めれ('A`)
ぐっどらっく
by らくだソフト
224 ：[名無し]さん(bin+cue).rar ：04/09/19 20:07:27 ID:w5Qz7YfJ
>>186, 190
バイナリエディタで見ると
何かperlコードらしきものが見えるだが．．．
225 ：[名無し]さん(bin+cue).rar ：04/09/19 20:10:35 ID:2tUxC5+5
つーかモロにPerlのコードをPARでコンパイルした時に出来るアイコンだしな えーと、Shareのやつはー、とりあえず
対応しますよーって話になるまで、
さくらにしておきますー。 >>125
みんな真面目に誘導されてましたｗ
ちょっと感動。（普段お痛な板在住なので） ノートン先生は対応してて
ｳｲﾙｽﾊﾞｽﾀｰはしてないの？
駆除方法
コマンドプロンプトで "md <ウィルスのファイル名>" をあらかじめ用意する
WINNT\とかWINDOWS\にあるファイルをデスクトップ等へ移動すると同時に
用意していた事を実行
フォルダができてる事を確認したら再起動
再起動後フォルダが開いたら駆除成功
後は
移動したファイルを消しレジストリから値を消す
・タスクマネージャから終了はできない（常に２つのプロセスを起動させている）
・終了時(再起動)にもレジストリへ書き込み(?) これわ？
対策
１：まずPCの電源を切りセーフモードで起動してファイルのC:\WINDOWS\shellsystem.exeを削除
２：元になった「******.exe」も一応削除
３：普通に再起動してHijackThisでScan以下のエントリーをFixで削除
O4 - HKLM\..\Run: [shellsystem.exe] C:\WINDOWS\shellsystem.exe >>135
再感染する可能性が・・・
>134なら対策後ウィルス起動してもその時だけで
再起動後は自動でウィルス実行されない（フォルダが開くだけ）
こんなことやってたらWINNTとかsystem32のフォルダ内にウィルスファイル名のフォルダがいっぱいになる >>136
その再感染ってのはまたexe踏めば感染するって事？それはただのアホだろ
もし何もしないでも再度ｳｲﾙｽが活動するなら、詳細きぼんぬ ■ このスレッドは過去ログ倉庫に格納されています
