怪しいサイト情報 - 1072267942

1：</b><font color=#FF0000>（gunkan4c）</font><b>：2003/12/24(水) 21:12: なんか怪しいです、下のさいと。さっき見つけた。

ttp://dinodino.at.infoseek.co.jp/link3.html

もちろん、そのページはウィルスやブラクラじゃなく、普通に見れます。
が、そのぺーじのリンク先のいくつかは実に怪しい
110：名無しさん：2005/07/25(月) 03:02:45: ttp://isg14.casalemedia.com/V2/39699/53336/index.html?www.goo.com/landing.php

なんか見つけたので貼っときます
111：軍艦巻 ◆KTgunkan4c：2005/07/25(月) 22:11:25: >>109
あああぁぁ、今ごろ気づいて見ても(笑

>>110
ErrorGuardという出来損ないのアンチスパイに行きますな。
112：軍艦巻 ◆KTgunkan4c：2005/07/25(月) 22:18:45: //www.hackemate.com.ar/exploits/
↑
このサイトも怪しいですな
113：へたれ鑑定士 ◆HETAReMz7g：2006/01/04(水) 01:17:43: 俺の仕事前にぐだぐだで雑スレに書き込んだレスがｗ
なんで俺のバスター反応なかったのかが不明。。。orz
タスクが開けないのは正直参ったｗ
114：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/01/29(日) 01:02:47: 2ちゃんねるはぁゃιぃ
ttp://be.2ch.net/test/read.cgi/be/1102261048/610
115：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 18:56:30: えーとバスターで開けるでしょうか？
ttp://ex11.2ch.net/test/read.cgi/news4vip/1124286602/2
↑dat落ちしているので下のいずれかで収得できます。
://makimo.to:8000/2ch/ex11_news4vip/1124/1124286602.html
ttp://pc8.2ch.net/test/read.cgi/sec/1136576534/639-n

経緯っす。
ttp://pc7.2ch.net/test/read.cgi/pcqa/1109609938/421-n
ttp://be.2ch.net/test/read.cgi/be/1102261048/621-n
116：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:10:00: >>113へたれさん、どーもです。つか、レスを全く気づきませんですた。。。＿|￣|○

>>114-115ｃ⌒っミ｀Д)さん、見てみます
117：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 21:12:38: >>114は・・・

　ネ　タ

>>116
バスターでの反応が知りたいですぅー。
118：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:34:03: バスター2006では無反応ですた。
zipファイルのDL → 無反応。
zipファイルの解凍 → 無反応。
datファイルのIE表示 → 無反応。
datファイルの削除 → 問題なく出来ますた。

という感じですた。特に以上はないようです。
119：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:34:51: 以上ではなく異常だっ!!!!!(笑
120：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:36:42: あと、こないだのはトレンドから何の連絡もないです。。
忘れてんのかな？？＞トレンド社
ﾏｯﾀｸ!!!!(笑
121：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 21:48:23: >>120
レスをメモ帳にコピペで保存でもですか。
ウイルスチェックテストコードも9行目にあるのですが・・・
122：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:50:37: やってみます
123：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 21:59:52: catから始まるレスですか？ウィルスコードのレスですよね？？
レスをメモ帳にコピペで保存しましたが、バスター無反応ですた。

それとも違うレスかな？？
124：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 22:17:18: >>123
そのレスの9行目です。
ttp://www.f-secure.co.jp/v-descs/v-descs/eicar.htm
～.COMにしないと反応しないのかもしれませんね。
ノートンは素で騒ぎます（ｗ
125：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 22:22:04: ぃゃぁ～、さっぱりの無反応ですなぁ。
よく言われる「ウィルスコードに誤反応」とかいうものなんですかねぇ
126：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 22:26:09: >>125
念のためにどぞー
ttp://www.eicar.org/download/eicar.com.txt

ttp://pc7.2ch.net/test/read.cgi/pcqa/1109609938/2

んで反応したらバスター（つか普通のアンチウイルスソフト）は
実行ファイルで無いと反応しないってことかな。
127：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 22:31:15: eicar.com.txtは、URL Listにも記載されてまして、今、再確認しても無反応でした。
バスターは単なる文字列として扱うみたいです。
128：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 22:32:56: おっと、ウィルス名：Eicar_test_fileを検出してましたな(笑
失礼！今踏んでも無反応です。はい。
129：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/04(土) 22:40:59: >>127
うぇ！

>>128
ほっ。

eicarじゃないとすれば別のコードでマカフィが反応しているようですね。。。
>>115のコードとhttp://jbbs.livedoor.jp/bbs/read.cgi/computer/10301/1071925088/373-378をつき合わせるのちょっときつー。。。

また何か分かりましたらお知らせしますです。
130：軍艦巻 ◆KTgunkan4c：2006/02/04(土) 22:49:59: ﾌｫｯﾌｫｯﾌｫ～～
131：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/02/16(木) 02:33:27: ttp://qa.2ch.net/test/read.cgi/argue/1117583936/31
ttp://pc8.2ch.net/test/read.cgi/sec/1073635455/836-
ttp://pc8.2ch.net/test/read.cgi/sec/1073635455/844-

うーん・・・・
132：軍艦巻 ◆KTgunkan4c：2006/02/16(木) 22:43:52: ワンクリがどんどん進化しているみたいですな。
基本的には振り込め詐欺と一緒で、本人が注意していればGoodだと思うんですがね・・・
133：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/03/08(水) 23:04:40: ttp://is.2ch.net/?query=%3Cscript%3Ealert%28%27%D4%BE%C0%B2+%D3%C3%C0%B2+%B1%BF%CB%DE%C0%B2%5Cn%5Cn%81@%81@%81S%29%81%DD%28%81_B%83%C0%5Cn%81@%81@%81@%81R%81@%83%7E+%81M%84D%29%5Cn%81@%81@%81@%81@%98%A4_%81%9C%81%5D%81%9C%5Cn%81@%81@%81@%81@%81@+%81r%81@+%2C%81@%82%8C%81r%5Cn%81@%81@%81@%81@%81@%81i%7E%7E%81%A5%7E%7C%81j%5Cn%81@%81@%81@%81@%81@+%81%84+%81j+%C9%5Cn%81@%81@%81@%81@%81@%28_%81%5E%81R_%29%27%29%3C%2Fscript%3E&enc=SJIS
ttp://s.s2ch.net/s.php?STR=%3Cscript%3Ealert%28%27%D4%BE%C0%B2+%D3%C3%C0%B2+%B1%BF%CB%DE%C0%B2%5Cn%5Cn%81@%81@%81S%29%81%DD%28%81_B%83%C0%5Cn%81@%81@%81@%81R%81@%83%7E+%81M%84D%29%5Cn%81@%81@%81@%81@%98%A4_%81%9C%81%5D%81%9C%5Cn%81@%81@%81@%81@%81@+%81r%81@+%2C%81@%82%8C%81r%5Cn%81@%81@%81@%81@%81@%81i%7E%7E%81%A5%7E%7C%81j%5Cn%81@%81@%81@%81@%81@+%81%84+%81j+%C9%5Cn%81@%81@%81@%81@%81@%28_%81%5E%81R_%29%27%29%3C%2Fscript%3E&COUNT=

　　ヾ)∂(＼Bβ
　　　ヽ　ミ｀Д)
　　　　丶_●‐●
　　　　　〉　 ,　ｌ〉
　　　　　（~~▼~|）
　　　　　＞）ﾉ
　　　　　(_／ヽ_)
134：軍艦巻 ◆KTgunkan4c：2006/03/11(土) 20:31:06: ヾ)∂(＼Bβ
　　　ヽ　ミ｀Д)　＜何ﾓHITｼﾅｶｯﾀﾖ!!!
　　　　丶_●‐●
　　　　　〉　 ,　ｌ〉
　　　　　（~~▼~|）
　　　　　＞）ﾉ
　　　　　(_／ヽ_)
135：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/03/26(日) 02:07:47: ttp://qb5.2ch.net/test/read.cgi/operate/1062269604/818
本当は3人・・・
ここは秘密基地で
136：名無しさん：2006/09/19(火) 03:53:01: www3.ezbbs.net/cgi/bbs?id=ibconsul&dd=09&p=3

ホリエモンの姉のブログという名目で書き込まれてました。
が、開いたところ、掲示板みたいなサイトだった。

ソースチェッカーで見たところ、カクシスクリプトとやらが仕込まれてて、
その隠しスクリプトを調べようと試みたところ、アクセス規制されてしまいました。

あとは　よろしくぅ
137：軍艦巻 ◆KTgunkan4c：2006/09/20(水) 23:01:47: 見てみまつ
138：名無しさん：2006/09/21(木) 16:01:25: ttp://www.shockwavw.com/

今日、Shockwave.comを検索しようとして、
打ち間違えてShockwavw.comで検索してしまったところ、ここがヒットしました。
キーボードのEとWって配置が隣だから、何かgoogkleみたいに打ち間違いを狙ってるように見えなくも無いような･･･。
試しに行ってみても何もありませんでしたが、ソースチェッカーにかけると
ゾンビウィンドウが検出されました。

もしかしたら普通のサイトかも･･･でも怪しいなと思ったので一応報告をm(_ _)m
139：◇oKLssLV2YM ◆hpKL1zkxbM：2006/09/24(日) 21:06:55: ドメイン屋さんのようですが…広告鯖には注意で、ですかね
140：名無しさん：2006/10/11(水) 23:14:46: ttp://www.seriall.com

既出かもしれませんが、JAVAでのスクリプトエラー、
デスクトップにmitと書かれたショートカットが作成され、非常に怪しいです。
141：軍艦巻 ◆KTgunkan4c：2006/10/12(木) 01:15:37: どもです。
怪しいURLですな。
私のほうでも「mit」を確認しております。
そのまま放っておくと何やら英文の警告窓が表示されます。
このURLはListに載っているので、参考までにﾄﾞｿﾞｰ

このURL、ちと掘ってきてみます。
142：軍艦巻 ◆KTgunkan4c：2006/10/12(木) 01:19:48: ちなみにseriallでは踏んで怪しい挙動が起きたあと、PC再起動２回して３回目の再起動時ではPCが全く不能になってしまったです。
再インスコを余儀なくされました。
143：◇oKLssLV2YM ◆hpKL1zkxbM：2006/10/12(木) 01:29:08: おひさしうございます

通報すべきexe の位置は、
ttp://installare.net/e/ii.php?b=3020&i=0
です

おそらく、既知のマルウェアダウンローダ(DLL)を、新しい暗号化形式でラップしたもののようです
このDLLをvirustotal /SCAN- にかけると
(末尾にゴミデータが付いたままなので検出率は低下の可能性)、
AntiVir7.2.0.25/20061011found [HEUR/Malware]
BitDefender7.2/20061011found [Trojan.Klone.H]
Kaspersky4.0.2.24/20061011found [Packed.Win32.Klone.g]
McAfee4871/20061011found [BackDoor-CVT]
Panda9.0.0.4/20061011found [Suspicious file]
TheHacker6.0.1.095/20061011found [Trojan/Klone]
となります
内容は、さらにマルウェアを動的にダウンロードする性質のもののため、
システム改変の詳細は予測できないものとなります
144：◇oKLssLV2YM ◆hpKL1zkxbM：2006/10/12(木) 01:54:51: サイズを再調整して再検しても検出結果は変わらないようです

このラッパはCryptoAPI を使っており、
プロセスオーナの権限が不足していると感染もしませんが、有害の証明もできません
(デコードに失敗すると、静かに終了してしまいます)
Users 権限で実行し、0x4011c7 で停止させると、
offset 0x401393, size 0x3E00 のDLL を抽出できますこれが実体
この評価に用いたPE イメージは18160バイト、
MD5SUM: 8B4933C52B92C9357876538A2E10F329
です
145：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/10/12(木) 01:56:48: 炎狐固まったので強制終了。
JaneViewのビューワからみたらcrack系のブツがあるっぽい。
てきとーにdiner_dash_2_keygen.exeを島に>>140のアドレスつけて送りました。
146：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/10/12(木) 02:06:51: リロード・・・おｒｚ
>>143
winss32.exe島に送りました。
147：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/10/12(木) 02:11:35: っと反応した。
diner_dash_2_keygen.exeは Trojan.Nebuler ｳｨﾙｽに感染しています｡
ttp://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.nebuler.html
148：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2006/10/12(木) 14:53:34: きてた
winss32.exe
コンピュータ:
結果: このファイルの検出結果 Trojan.Nebuler. ttp://www.symantec.com/avcenter/venc/data/trojan.nebuler.html
149：軍艦巻 ◆KTgunkan4c：2006/10/14(土) 21:37:14: ようやくヒマになって来ますた。
◇oKLssLV2YM ◆hpKL1zkxbM 氏
ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI 氏
ドモです。
winss32.exeの情報乙です。
トレンドマイクロ社からの報告待ちです。
diner_dash_2_keygen.exeは TROJ_AGENT.FLO を検出すます。

あと、このURLの関連でトレンドマイクロ社に調査依頼中は以下です。
//code.trasferimento.biz/l/b46055dee8078c9055800b4f01f20c05_28.exe
//installare.net/a412/a571.php
//installare.net/a412/a571.php?m=1&b=779&c=1
//installare.net/a412/a571.php?m=1&b=3019&c=1

あと、このサイトも嫌な感じがしますな。DLできるファイルが多すぎて調べてませんが。。。
↓
//freeserials.spb.ru/
150：軍艦巻 ◆KTgunkan4c：2006/10/16(月) 22:31:39: 来ますた。以下です。

トレンドマイクロ・ウイルスバスタークラブセンターです。
弊社製品をご愛用いただき、誠にありがとうございます。

ご連絡が遅くなりまして誠に申し訳ございません。
このたびは、検体ファイルをご提供いただきましてありがとうございました。

お客さまより、お送りいただきました「winss32.exe」をお調べいたしましたところ、不正プログラムであることが判明いたしました。

弊社では、ウイルスパターンファイル「3.845.00」より「TROJ_SMALL.DEB」として検出するよう対応させていただきました。

現在コンピュータ内に、「winss32.exe」が存在する場合には、不正ファイルとなりますため、削除をお願いいたします。
151：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2007/01/04(木) 22:13:50: ttp://slashdot.jp/security/article.pl?sid=07/01/02/2328207
リアルタイム解析
152：ｃ⌒っミ｀Д)っφ ◆CaKkuEV3EI：2007/03/13(火) 19:55:48: 重いよ～
ttp://gunkanmaki.jog.buttobi.net/
153：通りすがりな方：2007/04/21(土) 17:42:38: >>150
昔よくNeedF（以下略　ってゲームのきーじぇね探してたけど。
こういうサイトによく踏んだもんだなぁ。
いやはや、いまとなってはシリアルコード集めなんかやめよう（ぁ
まぁ、Torrent配布してるいいサイトも最近偽装アンチウイルスソフト
に埋れてしまってるし、とほほ。
154：名無しさん：2007/05/24(木) 23:56:04: ttp://www.gamesmusic-realcgi.net/
webgetterのウィルススキャンでは、このページは反応無し。
（でも、スクリプトでゴニョゴニョやってるので、やはり怪しい。）

しかし、インラインフレームで呼び出される、ttp://www.jpxpie6-7net.com/Ms06014.htmから、
「HTML/Dldr.Huti」をAntivirが検出。
呼び出されるページのタイトルは、「super IE 0Day」。
同じページを使った、ttp://www.runbal-fc2web.com/index.htmlは現在４０４。
３つのドメインは全て中国で取得されているモノ。
155：１５４：2007/05/25(金) 00:13:55: １５４の詳細判明。
Ragnarok Online板＠MMOBBS
アカウントハック総合対策スレ7
ttp://gemma.mmobbs.com/test/read.cgi/ragnarok/1177507128/l50

某MMORPGのアカウントを狙ったもので、人が集まりそうな場所に投げ込んでいる模様。
156：k_taka ◆zPYq/Btxsg：2007/05/28(月) 01:57:18: >>154
おお。何気にいろいろお役に立っているようで何よりですよ・・・
フリーのアンチウイルスでできればlinux上で動作するものがあれば
数を増やしたいんですけどねー・・・
あまり増やすと重いですが＞＜
今真ん中にあるavastがどうやら調子悪いみたいなので
近日はずすかも知れません。ご了承くださいませ。

カスペルスキーlinux購入しようかな・・・
157：名無し＠Z：2007/12/16(日) 14:45:02: ttp://keygen.name
あんだーぐらうんど漁ってたらこんなのが出てきました。
結構怪しいサイト。
ちなみにkeygenがDLできるみたいです。

調査きぼんぬ。
158：名無しさん：2007/12/17(月) 13:38:17: hy
159：名無しさん：2007/12/31(月) 11:34:08: ttp://www.gigigi.net/up/img/1230.jpg
非常に被害が拡散しているようです
参考までに