Gumblar (別称としてTroj/JSRedir-R, GENO) ウィルス

Zlkon, またはGumblar, Troj/JSRedir-Rなど複数の呼称のあるコンピュータ・ウイルスが被害を拡大させているそうです。 (現在、世界的に最も広く使われている名称はGumblarらしい。日本での通称は「GENOウイルス」。)

■参照先などの見やすくまとまったリスト：
http://www.kanshin.com/keyword/1819354

■Internet Watch記事：
http://internet.watch.impress.co.jp/cda/news/2009/05/19/23488.html

　JPCERT/CCは19日、JavaScriptが埋め込まれる攻撃が多発しているとして、ユーザーにソフトのアップデートやセキュリティ対策ソフトの導入を呼びかける注意喚起を発表した。

　JPCERT/CCでは、JavaScriptが埋め込まれるWebサイトの改ざんが多数発生しているという報告を受けており、ユーザーが改ざんされたサイトを閲覧した場合、ウイルスに感染する可能性があると説明。米US-CERTの情報によれば、この攻撃は「Gumblar」と呼ばれているもの。改ざんされたサイトを閲覧したユーザーに対して、Adobe FlashやAdobe Reader/Acrobatの脆弱性を突いて攻撃を試みる。ウイルスに感染するとFTPアカウント情報が盗まれ、さらなる攻撃に使用される可能性があるという。……

■英語の記事の一覧：
http://news.google.co.uk/news?ned=uk&hl=en&q=gumblar&cf=all&scoring=n

■Gumblar（通称「GENOウイルス」）について：
http://www29.atwiki.jp/geno/

こちらさんによると、このウイルスはAdobe Reader (PDFを読むソフト) や、Adobe Flash Playerの脆弱性を突いたもので、このウイルスに感染したウェブページを閲覧しただけで感染するというタイプのものだそうです。より詳しくは、UnderForge of Lackさんというブログの「Zlkon, Gumblar 問題に関して」という記事をご参照のほど。

影響を受けるOSは、Windows XPとWindows 2000で、Windows Vistaは「余計なことをしなければ感染しません」とのこと。

■感染を防ぐための対策：
http://www29.atwiki.jp/geno/

脆弱性の問題がある「Adobe ReaderとAdobe Flash Playerを最新版に更新しておけば一安心」で、「ついでにAdobe ReaderのJavaScriptを切っておけばもっと安心」とのことです。（Adobe Readerはバージョンを「9.1.1」に。）

「JavaScriptを切っておけば、と言われても」という方は「JavaScript 無効」か何かのキーワードでウェブ検索して、方法を調べてください。ブラウザがFirefoxの場合は、アドオンのNo-Scriptを入れるのが一番簡単だと思います。（ほかのブラウザのことは私はわかりません。）

■感染拡大の経緯:
http://geno.2ch.tc/history.html

このウイルスについての情報がまとめられたサイトさんの「GENOウイルスの歴史」のページによると、4月4日（土）に中古パソコンの通販サイトで感染が発覚、このショップ側の対応の遅れもあり、日曜日には他のサイトでも感染確認、週明けにはIT系オンライン・メディアがニュースとして報じるも感染は拡大、クラシック音楽関係で有名なサイト、ホビー系のサイト（←hobbyなんとかというドメイン名）などが感染。その後5月16日までに、大手製薬会社のサイト、多数の個人サイトへと感染が広がって現在に至る、という状況で、いろいろと情報が錯綜しているそうです。

5月18日の時点で感染が確認されていたサイトについては、So-Netのセキュリティ通信に。（via UnderForge of Lack）
http://www.so-net.ne.jp/security/news/view.cgi?type=2&no=1890

■ウェブサイトの感染の有無を確認するには：
http://geno.2ch.tc/

このURL（↑）に「GENOウイルスチェッカー」があります。ご利用のサイトが感染していないかどうかが心配ならチェックしてみてください。このチェッカーは結果として表示されるのが「100％が上限ではない」という点が少し紛らわしいように思えますが（上限は「1000％」なのかな……）、次々と亜種が出ている状況で、かなり厳しく判定するように設計されているそうです。数字だけでなく文字のメッセージも出ます。


■自分のパソコンが感染していないかどうかを確認するには：
1. Windows XPの場合:
http://www29.atwiki.jp/geno/pages/16.html

2. Windows 2000の場合:
http://www29.atwiki.jp/geno/pages/17.html

※ただし、万が一感染していた場合で、感染していたのが亜種である場合、regedit.exe, cmd.exeを起動するとBSOD→パソコンがお亡くなりになる場合もあるとのこと。

ローカルのアンチウイルスだけでなく、オンラインでもウイルスチェック：
http://www.kaspersky.co.jp/virusscanner
http://www.f-secure.co.jp/
など

■万が一、感染していた場合は：
http://www20.atwiki.jp/gegegeno2/?page=%E6%84%9F%E6%9F%93%E3%81%97%E3%81%A6%E3%81%9F%EF%BC%81

とりあえずネット接続を切ります（ケーブルを抜く）。それから、自分が管理しているサイト（FTPでファイルをアップロードしているもの）があればサーバからファイルを削除し、自分のパソコンをクリーンインストール……しかないようです。亜種が多く、ウイルスソフトは対応しきれていないらしいです。（この点、今後状況変わるかもしれませんが、基本的にここでは情報更新しません。各自お調べください。）

■とにかく何がどうなのかよくわからないけど、という場合の参照先：
GENOウィルス初心者用まとめ・ミラーサイト
http://www20.atwiki.jp/gegegeno2/
※本家が混雑しているようでつながりづらいのでミラーで。

■被害状況を知るために：
GENO感染サイト一覧。
http://blog.livedoor.jp/yearbyyear/archives/50494999.html
May 20, 200900:27投稿。この時点での主要な被害サイト一覧。範囲が広いです。オンラインショップから国土交通省の地方事務所まで、ペットの名前についてのサイトから製薬会社まで。（これらの中には対応済みというアナウンスが出ているサイトもありますが。）

いずれにせよ、Adobeのソフトのアップデートをまずはお忘れなく。PDFリーダーでFoxItを使っている人も、3月のアップデートをやってない人はお忘れなく（脆弱性関連でした）。←英語圏のフォーラムからの拾い物の伝言。

※この記事は

2009年05月20日

にアップロードしました。
1年も経ったころには、書いた本人の記憶から消えているかもしれません。