■ウィルス爆撃相談所＆焼き処４【RockBBQ】

**野焼き ★** · 2006/05/13(土) 05:48:15

　ここはウィルス等を利用した爆撃等の相談所です。

　ウィルス感染ホストの報告と焼き処を兼ねます。

　解析もここで扱います。

　＃削除依頼は、削除整理板へお願いします。
　＃ここでは芋掘りは行いません。専用スレでどうぞ。

前スレ
■ウィルス爆撃相談所＆焼き処3【RockBBQ】
http://qb5.2ch.net/test/read.cgi/sec2chd/1144848937/

【関連スレ】
【BBQ＆BBM14本目】公開串登録所【ピンポイント規制】
http://qb5.2ch.net/test/read.cgi/sec2chd/1145893627/
bbs.cgi再開発プロジェクト7
http://qb5.2ch.net/test/read.cgi/operate/1130918407/

**名無しの報告** · 2006/10/22(日) 11:13:39

>>860 のタイプの佐賀ウイルス、検体確保しましたので各主要ﾍﾞﾝﾀﾞに提出します('A`)
提出先等は、追って報告に参ります
※ ﾊﾟｯｶｰ（UPX）かました状態で virustotal.com にてｽｷｬﾝしたところ
　　DrWeb（BACKDOOR.Trojan）・Panda（Suspicious file）のみ「何か」を検出

フシアナ状況（一部ですが）：
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=YSfmFWrh0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=xG6CJyA40
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=lP7LekPx0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=XmuG%2BALd0

**名無しの報告** · 2006/10/22(日) 11:36:58

回線を切ると佐賀ウイルスはエラーメッセージを出すそうで
Can't～IP.
↑こんな感じで

**名無しの報告** · 2006/10/22(日) 11:44:56

なるほど

**名無しの報告** · 2006/10/22(日) 12:00:46

以下のﾍﾞﾝﾀﾞに検体送付してきました('A`)ﾉ
Symantec
Grisoft（AVG）
Avast
ESET（NOD32）
Kaspersky Labs
BitDefender
F-secure
Avira
McAfee
-------
ﾄﾚﾝﾄﾞﾏｲｸﾛは送ってないっす……非ユーザーはメールやフォームで送れないんでしょか('A`;)

**名無しの報告** · 2006/10/22(日) 12:06:43

>>864
461 名前：個人情報身と佐賀県[] 投稿日：2006/10/21(土) 23:28:10 ID:TUSYaYZ40
Kasperskyに送ったら、なんと無視されたそうですよ。
http://pc8.2ch.net/test/read.cgi/sec/1161255047/284
http://pc8.2ch.net/test/read.cgi/sec/1161255047/321

**名無しの報告** · 2006/10/22(日) 12:17:57

一応 virustotal.com のｽｷｬﾝ結果うｐしときます
ttp://www.imgup.org/iup277443.gif

>>865 ﾏｼﾞすかカスペ('A`;)
あまり返答に期待しないでおきます……

**名無しの報告** · 2006/10/22(日) 12:35:49

>>861 検体置き場書いてもらえれば誰かが（ｒｙ

**名無しの報告** · 2006/10/22(日) 12:51:46

>>864 書き漏らした、Sophos にも送付済っす
>>865 なんと無視されますたorz
http://pc8.2ch.net/test/read.cgi/sec/1161255047/321 と同じ内容で……

>>867 うｐろだに置きましたんで、どなたかよろしくお願いします('A`;)
ttp://uploader.xebra.org/?id=aa1edcc
DL/解凍パス「infected」っす、13:45にはうｐろだから消える設定にしてます
ちなみに 7zip にしてあります

**名無しの報告** · 2006/10/22(日) 12:51:54

161 名前：あいたー[] 投稿日：2006/10/22(日) 12:49:59 ID:y134+LFf0
C:\WINDOWSに、りぼっさんアイコンのcsrss.exe
C:\WINDOWSに、りぼっさんアイコンのcsmss.exe
C:\WINDOWS\system32にりぼっさんアイコンのexplorer.exe

これを削除すればおｋかな？

**名無しの報告** · 2006/10/22(日) 13:14:44

>>864
トレンドマイクロソフトは、たどり着くのめんどくさいけど
アメリカのページにフォームがあったりする

http://subwiz.trendmicro.com/SubWiz/Wizard.asp?opgWizard=7

**名無しの報告** · 2006/10/22(日) 13:16:48

>869
ﾚｼﾞｽﾄﾘはどうだろうね？

**名無しの報告** · 2006/10/22(日) 13:20:46

ttp://www.yourfilehost.com/media.php?cat=other&file=4373nyuusan.zip
検体送付用に再うｐ

**名無しの報告** · 2006/10/22(日) 13:23:35

↑実行するなよ

**名無しの報告** · 2006/10/22(日) 13:42:53

>>870
ありがとう、でも Product の中に何も選べるものがなくて、Next ﾎﾞﾀﾝを押演ｺできない('A`)
ﾄﾚﾝﾄﾞﾕｰｻﾞの方、よろしくお願いします

カスペ宛に、もう一度ちゃんと調べれって送ってみたっす

**名無しの報告** · 2006/10/22(日) 16:55:18

>>872 とれんどさんにぷれぜんとしますた。

**名無しの報告** · 2006/10/22(日) 17:16:10

Panda と Dr.Web 、念のため説明添えて検体を提出したです
あと、>>861 と重複しますが、現在確認できるフシアナ ID です

ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=YSfmFWrh0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=xG6CJyA40
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=lP7LekPx0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=XmuG%2BALd0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=ctnF/6SA0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=U4kXXkIJ0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=Ubkildnq0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=HxHvs40p0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=jSIwDRXT0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=myjTxM0y0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=V+bqAxhl0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=dE0e8muz0
ttp://travel.mimizun.com:82/cgi/idsearch.pl?board=news&id=uDu/+pgC0

2006/10/23(月) 12:19:45

某パスワードが違うとおこられる・・・
>>874
Product : - PC-cillin/Virus Buster 2006
Number of Users Affected : - 01 - 05
を選べばいい

>>871
どうせ
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
か
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
かと

**名無しの報告** · 2006/10/23(月) 12:51:26

>>877
>>874 っす、ありがとう勉強になった('A`;)
もし解析等に必要ならば、検体お送りしますんで安価ください

**名無しの報告** · 2006/10/23(月) 13:11:09

>877↓
やっぱりそこかな

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · 2006/10/23(月) 16:01:36

>>877
ごめんなさい。
パス梨送りました。

**名無しの報告** · 2006/10/23(月) 17:06:58

ﾍﾞﾝﾀﾞから返信きますた('A`)

・Sophos：Troj/Sufia-A （ttp://www.sophos.com/virusinfo/analyses/trojsufiaa.html）として対応
・Panda：Trj/NasanFusia.A （ttp://www.pandasoftware.com/virus_info/enc/overview.aspx?idvirus=134829）として対応
　→※ 今はまだﾘﾝｸ切れです、掲載予定 URI のようです
・Dr.Web：「Doctor Web, Ltd. のウイルス研究所」にたらい回し中
・Avira：ﾌﾞﾗｳｻﾞからアップロードした検体が破損してたらしいので、再提出orz

あと、ESET（NOD32）は返事きてないですが、NODｽﾚを見ると対応した模様っす
今後のﾍﾞﾝﾀﾞの対応状況について、分かり次第また参ります　ﾉｼ

2006/10/23(月) 20:24:04

UPX 1.93 betaで、Unpack可能

どうも文字列が暗号化されてる (BASE64+α)
今回はリソースデータとして書き込まれてる
前回はプログラム内部だった

**名無しの報告** · 2006/10/24(火) 11:23:24

ﾍﾞﾝﾀﾞから返信きますた('A`)その2

・F-Secure：「対応します」とだけ返事（We will add detection for this malware.）
・Avira：TR/Sufia.A. として対応
・AVG：「Trojan Horse として対応予定」との返事（will be detected by AVG Anti-virus as Trojan Horse.）

以上っす　ﾉｼ

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · 2006/10/25(水) 23:55:16

>>872
>>387で島対応を確認。
Trojan Horse.

**名無しの報告** · 2006/10/27(金) 04:01:05

佐賀ウイルスうざい
http://news20.2ch.net/test/read.cgi/news/1161717138/

**某所の人** ◆Y39/vakKjY · 2006/10/27(金) 18:43:24

TrendMicro、検体調査結果来ました。
「不正なコードは存在しておらず、ウイルスではないことが確認できました。」
とのこと。ちなみに送ったEXEのハッシュは下のはず。
EXE SHA-1：8A91A1B495BA4A0A0214CA3FF7D82EA2F4AAEE1A

**名無しの報告** · 2006/10/27(金) 18:59:07

avastはどうなったんだ

**名無しの報告** · 2006/10/27(金) 19:26:31

>>886
工エｴェｪ(´д｀)ｪェｴエ工工

**名無しの報告** · 2006/10/27(金) 20:43:32

とりあえず再ｽｷｬﾝしてみました('A`)ﾉ
各ﾍﾞﾝﾀﾞに提出したﾌｧｲﾙですが、>>886 のものとは微妙に異なる気配っす
乳酸菌.exe→SHA-1：102a73b3647145e2c5222a7aee32585c039d4442
　　　　　　　　MD５：0fd01283dc1dd326fe008c9da2d9f78c　/ CRC32：22c5bf57

.■virustotal.com│Version　　　　│ Update　　 │　Result
───────┴──────┴─────┴──────
AntiVir　　　　　　　　7.2.0.34　　　　　　10.27.2006　　 no virus found
Authentium　　　　　4.93.8　　　　　　　10.27.2006　　 W32/Trojan.JTD
Avast　　　　　　　　4.7.892.0　　　　　 10.27.2006　　 Win32:Delf-CBI
AVG　　　　　　　　　 386　　　　　　　　 10.27.2006　　Generic2.FJC
BitDefender　　　　　7.2　　　　　　　　　10.27.2006　　Trojan.Sufia.A
CAT-QuickHeal　　　8.00　　　　　　　　10.26.2006　　no virus found
ClamAV　　　　　　　 devel-20060426　10.27.2006　　no virus found
DrWeb　　　　　　　　 4.33　　　　　　　　10.27.2006　　Trojan.Tebich
eTrust-InoculateIT　23.73.38　　　　　 10.27.2006　　no virus found
eTrust-Vet　　　　　 30.3.3162　　　　　10.27.2006　　no virus found
Ewido　　　　　　　　　4.0　　　　　　　　 10.27.2006　　Trojan.Delf.yd
Fortinet　　　　　　　 2.82.0.0　　　　　　10.27.2006　　 Sufia.A!tr
F-Prot　　　　　　　　3.16f　　　　　　　10.27.2006　　 destructive program named W32/Trojan.JTD
F-Prot4　　　　　　　4.2.1.29　　　　　　 10.27.2006　　W32/Trojan.JTD
Ikarus　　　　　　　　 0.2.65.0　　　　　　 10.27.2006　　no virus found
━━━━━━━━━━━━━━━━━━━━━━━━━━━
■virusscan.jotti.org（virustotal.com との重複除く）
─────────────────────
ArcaVir　　　　　　　　　 Found nothing
Kaspersky Anti-Virus　Found Trojan.Win32.Delf.yd
NOD32　　　　　　　　　　Found Win32/Delf.YD
Norman Virus Control　Found W32/Sufia.A
VirusBuster　　　　　　　Found nothing
VBA32　　　　　　　　　　Found Trojan.Win32.Delf.yd

**名無しの報告** · 2006/10/27(金) 22:24:36

俺が持ってる乳酸菌.exeはMD5が08898b97ac766e09c2ee2153e9371ee3なんだけど
微妙に違うのが出回ってるのか？

**水色＠飛行石 ★** · 2006/10/27(金) 22:33:16

検体の方の手配はいつもありがとうございますー。

えーと、佐賀ウィルスはー、ホストが判るようでしたら
焼いてみますかねー。
どのくらいの勢いなんですかねー。

**名無しの報告** · 2006/10/27(金) 22:37:09

例えば
http://hissi.dyndns.ws/read.php/news/20061027/

報告ｽﾚみたいな形式で報告しましょうか

**たこ焼き ★** · 2006/10/27(金) 22:48:34

焼いても問題ないのでしたら手伝います。
書き込みランキングで爆撃が上位を占めているので勢いはあると思います。

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · 2006/10/27(金) 23:19:49

>>886 >>882
>>872を送りました。
ハッシュは同じく
8A91A1B495BA4A0A0214CA3FF7D82EA2F4AAEE1A
です。

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · 2006/10/27(金) 23:26:10

>>894は10月23日15:57送信分です。

**ｃ⌒っミ｀Д)っφ** ◆CaKkuEV3EI · 2006/10/27(金) 23:53:22

>>886 >>882
>>889と同じハッシュのものを送りました。
島はTrojan Horse.

**名無しの報告** · 2006/10/28(土) 08:07:41

★20061022　通称「佐賀ウイルス」報告スレッド★
http://qb5.2ch.net/test/read.cgi/sec2chd/1161514238/

これどうすんだよ

**たこ焼き ★** · 2006/10/28(土) 10:04:42

現在見ることのできるスレに爆撃したＩＰを登録形式でまとめました。
あっちのスレに書いたので焼くときに参考にしてください。

**名無しの報告** · 2006/10/28(土) 17:56:16

佐賀荒笑.exe
md5 d5d1a6741fd90f559db9bf2f4d0f1cda

トレンドマイクロ対応しますた
TSPY_UPPOST.A

**名無しの報告** · 2006/10/28(土) 18:30:19

おー

**名無しの報告** · 2006/10/28(土) 22:49:51

つーかなんでこのスレのスレタイウィルスなの？
普通はウイルス daro.
何か理由があるの？それとも>>1が無知なの？

**arc** ◆arc/U573Xw · 2006/10/29(日) 09:51:42

これにばっちり当てはまるのを初めて見た。
14：細かい部分のミスを指摘し相手を無知と認識させる

[―{}@{}@{}-] **名無しの報告** · 2006/10/29(日) 22:43:36

普通はヴィールスだろ

**arc** ◆arc/U573Xw · 2006/10/29(日) 22:47:12

英語発音は”ヴァイアラス”だったような…

**名無しの報告** · 2006/10/30(月) 12:31:04

◆CaKkuEV3EIさん、邪魔です。

**某所の人** ◆Y39/vakKjY · 2006/11/01(水) 13:31:50

TrendMicroから再度送付した検体についての結果が来ました。
パターン3.889.00からTROJ_SUFIA.A にて対応とのこと

**名無しの報告** · 2006/11/01(水) 13:42:49

>>906
◆CaKkuEV3EIとの馴れ合いはよそでやんなさい

**七宝焼 ★** · 2006/11/01(水) 16:54:05

>>907
ｵﾏｴｶﾞﾅｰ

**名無しの報告** · 2006/11/01(水) 20:57:55

>>908
お前のキャップは名無しを煽るためのものか？
下らん雑談をキャップでするな。
それにここは雑談スレじゃなかろう。

**七宝焼 ★** · 2006/11/01(水) 21:43:10

>>909
「作業の邪魔になるので、あなたも含めて、
このスレに関係のない書き込みはお控えくださいませ」

これで満足ですか？
ごきげんよう

**名無しの報告** · 2006/11/01(水) 22:43:01

馴れ合うな

**名無しの報告** · 2006/11/01(水) 23:02:56

七宝焼いい加減にしろ

**名無しの報告** · 2006/11/02(木) 02:57:22

イエローカードだな＜七宝焼

**水色＠飛行石 ★** · 2006/11/02(木) 07:58:24

もしかしてウィルスの作者さんですかねー。

◆CPUinDOop. · 2006/11/02(木) 08:41:20

そんな気がしています

**名無しの報告** · 2006/11/02(木) 09:08:14

なんくせつけてくる酔っ払いにしか見えない

**名無しの報告** · 2006/11/02(木) 10:58:11

誤爆するのを楽しみにしている野次馬にしか見えない（ぉ

**名無しの報告** · 2006/11/02(木) 12:38:18

>>914
今回の七宝焼さんみたいな焼きキャップの使い方は許されるの？

**名無しの報告** · 2006/11/02(木) 13:12:16

誰か困ったの？問題起きたの？

えぇ？

**名無しの報告** · 2006/11/02(木) 16:00:35

次のウイルスは総当りでキャップを探すウイルスだなｗｗｗ
危険極まりないｗｗｗｗ

**名無しの報告** · 2006/11/03(金) 03:26:50

>>906
雑談申し訳ありませんが、佐賀ウィルスダウンロードして以降、
当方バスターですが自動で昨日PC起動したら、ウィルス検出＆壁離されました。
確認、ご苦労様です。

**AirRock ★** · 2006/11/06(月) 00:51:23

お願いします。

comic6
2006/11/05(日) 14:47:10～2006/11/06(月) 00:49:59

B122028.ppp.dion.ne.jp 　 210.230.122.28
h219-110-191-216.catv02.itscom.jp 　 219.110.191.216
p1210-ipad213funabasi.chiba.ocn.ne.jp 　 124.85.66.210
softbank219020112026.bbtec.net 　 219.20.112.26

**野焼き ★** · 2006/11/06(月) 00:56:15

はいー。

**野焼き ★** · 2006/11/06(月) 00:59:21

>922 おつかれさまです､登録いたしましたｰ｡

**名無しの報告** · 2006/11/06(月) 10:29:44

焼きすぎ

**名無しの報告** · 2006/11/06(月) 10:40:55

ウィルスに引っかかるアホどもに言ってやれ

**水色＠飛行石 ★** · 2006/11/06(月) 10:43:48

プロバイダーにもどんどん言ってくださいー。

**名無しの報告** · 2006/11/06(月) 21:56:44

焼きキャップは雑談や煽りに使ってよしという運営公式見解あり、と・・・ﾒﾓﾒﾓ

**名無しの報告** · 2006/11/06(月) 23:10:38

>>928
作者乙

**AirRock ★** · 2006/11/11(土) 10:50:36

お願いします。

comic6 2006/11/11(土) 03:35:39～10:39:56

B121102.ppp.dion.ne.jp 　 210.230.121.102
p4082-ipad502osakakita.osaka.ocn.ne.jp 　 125.200.229.82
softbank219020112005.bbtec.net 　 219.20.112.5

**生姜焼き ★** · 2006/11/11(土) 10:56:45

はい

**生姜焼き ★** · 2006/11/11(土) 11:00:09

>>930
全部焼きました

**名無しの報告** · 2006/11/13(月) 00:22:59

乙

**AirRock ★** · 2006/11/16(木) 01:06:49

おねがいします。

comic6 2006/11/15(水) 21:56:23～2006/11/16(木) 00:59:30まで

ZC146159.ppp.dion.ne.jp 　 221.119.146.159
p1184-ipad504marunouchi.tokyo.ocn.ne.jp 　 222.148.56.184
p1210-ipad213funabasi.chiba.ocn.ne.jp 　 124.85.66.210

**野焼き ★** · 2006/11/16(木) 01:36:53

はい。

**野焼き ★** · 2006/11/16(木) 01:39:44

>934　おつかれさまです、登録いたしましたー。

**ｒｅｆｆｉ@報告人 ★** · 2006/11/18(土) 01:44:53

沈んでるので緊急age

comic6において新手のウィルスと思われる攻撃が発生している
ようです。
新種のウィルスだと思われますが情報をご存じの方はこちらまで
お願いします。

**名無しの報告** · 2006/11/18(土) 02:17:38

>>937
comic6の9板上位スレをヲチしに行ったが
どこが爆撃箇所か解らなかった件について。

**AirRock ★** · 2006/11/18(土) 02:19:45

お願いします。

comic6 2006/11/18(土) 02:09:52まで

174.218.244.43.ap.yournet.ne.jp 　 43.244.218.174
ntsitm110044.sitm.nt.ftth.ppp.infoweb.ne.jp 　 220.147.122.44
ntsitm140197.sitm.nt.ftth.ppp.infoweb.ne.jp 　 58.0.108.197
ntsitm198136.sitm.nt.ftth.ppp.infoweb.ne.jp 　 58.1.122.136
ZC167136.ppp.dion.ne.jp 　 221.119.167.136

**野焼き ★** · 2006/11/18(土) 02:45:09

はいー。

**野焼き ★** · 2006/11/18(土) 02:47:47

>939　おつかれさまです、登録いたしましたー。

**名無しの報告** · 2006/11/18(土) 04:02:24

>>937-938　このスレとか怪しい感じすね('A`)

ウイルス　ウィルス　ｳ．ｲ．ﾙ．ｽ傘２
http://comic6.2ch.net/test/read.cgi/doujin/1151933438/

もう少し立つと↓に反映されるﾊｽﾞ……
ttp://search.mimizun.com:82/cgi/idsearch.pl?board=doujin&id=Mx4Meocq

**名無しの報告** · 2006/11/18(土) 08:20:59

>>942
どう見ても既存種だろ。。
http://life.45.kg/sec/

**名無しの報告** · 2006/11/18(土) 11:26:28

カオスコピー同人ノウハウ[滝川x20 (スレ立て1型)]っぽいね

**名無しの報告** · 2006/11/24(金) 11:08:04

ノートンでウィルススキャンしたら引っかかったので削除しました

**名無しの報告** · 2006/12/10(日) 09:13:22

そうですか

[―{}@{}@{}-] p629a69.tkyoac00.ap.so-net.ne.jp · 2006/12/11(月) 14:15:07

何で引っかかってるのかまったくわからん('A`)

**名無しの報告** · 2006/12/11(月) 14:17:30

そうですか

**名無しの報告** · 2006/12/13(水) 06:29:03

携帯から書き込めない
ウィルス情報って何。。。

**名無しの報告** · 2006/12/13(水) 06:50:57

荒らし乙

**名無しの報告** · 2006/12/13(水) 11:26:09

携帯はピンポイントだから明らかに前科があるんだろｗ

**名無しの報告** · 2006/12/13(水) 22:17:39

ちょっと立ててみましたのでよろしくお願いします。

★061213　ウイルススレ潰し投稿報告スレ
http://qb5.2ch.net/test/read.cgi/sec2chd/1166014868/

[´・ω・｀] ntsitm181147.sitm.nt.ftth.ppp.infoweb.ne.jp · 2006/12/14(木) 22:03:29

122 [´・ω・｀] cancer.aitai.ne.jp New! 2006/12/14(木) 21:47:58 ID:yVoriFGk0
>>121
cancer.aitai.ne.jpだけど書けないですよ。
ゲーハー板

123 名無しの報告 sage New! 2006/12/14(木) 21:49:50 ID:GYkXEf+i0
30分待て！

124 [´・ω・｀] cancer.aitai.ne.jp sage New! 2006/12/14(木) 21:50:57 ID:yVoriFGk0
同じく　早く解いてくれ

[´・ω・｀] ntsitm181147.sitm.nt.ftth.ppp.infoweb.ne.jp · 2006/12/14(木) 22:04:17

誤爆

**お願いします** · 2006/12/16(土) 20:53:05

**名無しの報告** · 2006/12/16(土) 20:56:38

こういうことなの？

**名無しの報告** · 2006/12/16(土) 21:52:03

>>955
ここで扱うものではありません