皆さん、
週末如何お過ごしでしょうか？
第七猫です、こんにちわ！( ＾ω＾)
またしてもこのエントリーが登場するハメになりました…（´・ω・`）
最近、公式の方でもこのような発表があったのを見てらっしゃると思います。
●
プレイオンラインへの一部接続元からの接続制限についてどうやら以前、ＦＣ２でも起こった
テンプレ改竄からの
アカウントハックですが
最近
別経緯からの猛威を振るっているらしく、被害報告が
多発しています！
(´；ω；｀)ブワッ
今回、何故そのような状況になっているのか？
現時点で、感染経緯までの特定には至っておりませんがウィルスの概要が
判明したらしくマズは情報をアップして
注意発起を。
特にＰＣ版でプレイされている方は
必ず確認を宜しくお願い致します。
ヽ(´Д`；)ﾉｱｩｱ...
記事を書くにあたり、大変参考にさせて貰いました
●● RMT業者の垢ハックが多発している件28 ●●のスレ住人の有志の方に、この場を借りて
感謝を。
【今回のウィルスの脅威】・各種アンチウイルスソフトで検出が不可能（７／１３に一部対応済み）
・現時点で感染経路が不明確（Flashplayerの脆弱性が狙われた可能性大）
・パスワードの保存、手動入力等関係無しで被害に遭う
・ＩＤやパスの定期的な変更も効果無し以上の点が挙げられます！
ウイルスソフトで
検知不可能な上、パスワードを手動入力し定期的な変更を
していても被害に遭うというのは、考えるだけで恐ろしい…
【感染の前兆】特に報告の多かった、アカウントハックの被害者からの報告で共通のＰＣの
挙動として挙げられたものは以下。
?ＰＯＬの強制終了
?WindowsUpdateの失敗
?Windowsのシャットダウンの遅延等の報告が多く見られたようです。
皆さん、
思い当たる節は無いでしょうか？
【どういったウィルスなのか？】概要は
●ＰＯＬの接続先をスクエニから、
罠サーバーへ変更する。という恐ろしい物…((((ﾟДﾟ；))))ガクガクプルプル
つまり入力したパスワードとＩＤが、そのまま
不正な接続先へ送信される。
しかもＰＯＬからの送信なのでファイアーウォールやＰＧ２等でも
食い止める事が難しい…
以下、某スレを転載。分かる範囲で見てください。
>★wuauserv.dllがwzcsvbxm.dllに改ざんされていた件 暫定まとめ改訂案
>
>wuauserv.dll(ウィンドウスアップデートに使われるダイナミックリンクライブラリ)の
>レジストリを、正規のプロセスC:WINDOWSSystem32svchost.exeを使って罠サイトへ
>パスを送るwzcsvbxm.dllに書き換える。
>
>ファイルからではなくプロセスをフックしてメモリからパスを送信。送信経路はhttp。
>(レジストリの不正更新もあるにもかかわらず)ほとんどのセキュリティソフトは未検知。
>7/13付けで検体爆撃済み かたじけのうござる。
>
>判明している送信先(置き換えではなく●を単純に削る)
>引退：wowint●erfcae.com 204.13.6●4.0 - 204.13.71.255
>現役：googlesy●dition.com 74.86.1●85.101
>
>【%SystemRoot%System32wzcsvbxm.dllを探す方法。】
>スタート→ファイル名を指定して実行→regedit
>HKEY_LOCAL_MACHINE→SYSTEM→ControlSetxxx（xxxは数字）
>→Services→wuauserv→Parametersと
>HKEY_LOCAL_MACHINE→SYSTEM→CurrentControlSet→Services→wuauserv
>→Parametersの中の「ServiceDll」→「REG_EXPAND_SZ(種類)」の「データ」を確認
>
>C:WINDOWSsystem32wuauserv.dllならそのままクローズ(この件の感染はしていない)
>C:WINDOWSsystem32wzcsvbxm.dllなど上記以外のファイルが登録されていた場合、
>感染している可能性が極めて大 まず安全な環境でパス変更。
>
>wzcsvbxm.dllをwuauserv.dllに書き換えられるなら書き換え 等の対策をする。
>ただし すぐに戻ってしまう報告もあるため 修正後要確認。
>
>本体(生成元)および感染ルートは現状不明なため、上記の修正をしたとしても
>完全に駆除されているか分かりませんので、
>
>感染が確認された場合は『クリーンインストール推奨』。という一時報告が見られましたが、更に以下へ修正追記。
>★wuauserv.dllがwzcsvbxm.dllに改ざんされていた件 現状まとめ(>>653の挙動周り修正)
>
>【レジストリ】
> WindowsUpdateで使用するAutomaticUpdatesサービスのエントリを改竄する。
> ・キー位置
> HKEY_LOCAL_MACHINESYSTEMControlSetxxx（xxxは数字）ServiceswuauservParameters
> HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswuauservParameters
> ・感染時エントリ（値）
> %SystemRoot%system32wzcsvbxm.dll
> （未感染Windowsでは%SystemRoot%system32wuauserv.dll）
> wzcsvbxm.dllはAutomaticUpdatesサービスとしてOS起動時に常駐すると考えられる。
> エントリを書き換えた場合、常駐しているwzcsvbxm.dllが再度書き戻しにくるようだ。
>
>【POL】
> wzcsvbxm.dllはAutomaticUpdatesサービスとして常駐しているwzcsvbxm.dllは
> svchost(wuauser)としてPOLのプロセスに介入し処理を乗っ取る。
> svchost(wuauser)の介入がなされた時点でPOLの接続先が□e鯖から業者鯖に
> 変更されていると考えられる。
> 乗っ取ったPOLのプロセスを使用して業者鯖にID/PASSを送信する。送信後異常終了？
> そのため、ファイアヲールなどでPOLの接続ルールをアプリケーション単位で
> 許可している場合は検知は難しい。
> 現時点で確認されている送信先(置き換えではなく●を単純に削る)
> ・wowint●erfcae.com 204.13.6●4.0 - 204.13.71.255
> ・ooglesy●dition.com 74.86.1●85.101（←Googlesyのコピペミスと思われます）
【つまりどういう事？】第七猫のＩＮＴよん？の頭で分かる範囲で
概要を説明すると…
?とある感染源からウィルスに感染
↓
?WindowsUpdate機能のdllを改竄し、その後起動したPOLのプロセスを乗っ取る。
↓
?本来ならスクエニに繋がるはずのPOLは、罠を仕掛けた犯人の鯖へ接続。
↓
?POLからID/PASSを犯人の鯖へ送信し、送信後異常終了させる。。という
流れらしいです…((((ﾟДﾟ；))))ガクガクプルプル
やってる本人にしたら
「あれ？POLがシャットダウンした？まぁいいか。もう一回起動…っと。」って感じで、気づかない人は
スルーしてしまう勢いですよね…
つまり報告にあった
異常内容である
?のWindowsUpdateのdllを改竄している→WindowsUpdate失敗
?のPOLからID/PASSを送信し、送信後異常終了。→POLの異常終了という報告と
一致する…
なんとなく…納得できますね…
恐ろしい…(´；ω；｀)ブワッ
WindowsUpdateの機能を改竄し、
POLの接続先を罠サイトへ指定する。
この恐ろしいプロセスが実行されている
危険があるようです！！
((((ﾟДﾟ；))))ガクガクプルプル
この現象が見られた場合は、至急
以下のチェックをされる事を強く勧めます。
ヽ(´Д`；)ﾉｱｩｱ...
ちなみに転載中の記事にもありますように、一番恐ろしいのは
>(レジストリの不正更新もあるにもかかわらず)ほとんどのセキュリティソフトは未検知。という一文。現在
カスペルスキーにて検出が可能（7/13付け）らしいですが
Windowsシステムファイルのふりをしているので
駆除できないようです。
検出のみならこちらでも可能な様ですので、心配な方はチェックを。
・
カスペルスキーオンラインウィルススキャン【至急チェックすべき内容】細かい内容までは把握できなくとも、なんとなく分かって頂けましたか？
では、そのような現象が起こった場合
何を確認すればいいのか？また過去に起こったかもしれないけど、ハッキリ覚えてない…という方は
以下のチェックを大至急実施する事を、
強くお勧めします。
ヽ(ＴДＴ)ﾉ
●不正レジストリの検索まず、スタートメニューから
「ファイル名を指定して実行」を選択。
ここをクリックすると、下のような
ダイアログボックスが現れます。
「regedit」と入力しリターンを押しましょう。
そうすると、このような
【レジストリ エディタ】が開きます。
普通にＰＣに触るだけの方だと馴染みの無いエディタで、ややこしいですが
頑張りましょう。(・∀・)ｂ
まずは
HKEY_LOCAL_MACHINE→SYSTEM→ControlSetxxx→Services→wuauserv→Parameters
（xxxは数字）を探す。
よし、じゃ順に見て行きましょうか。
?の
HKEY_LOCAL_MACHINEの＋をクリック。
すると、その下のフォルダが見れますのでその中の?
SYSTEMをクリック。
そうすると、?
ControlSetxxxというのが「001」と「002」というのが
あったので取り合えず「001」から見て行きます。
「001」を開くと?
Servicesがありますので、それの＋をクリック。
?
Servicesの下にはフォルダが一杯ありますが、アルファベット順に並んで
いるので、ずーっと下へ移動して行きましょう。
?
wuauservなので、最後の方にあると思います(・∀・)
見つけたら?
wuauservの＋をクリックして、その直下の?
Parametersを
?クリックしてみましょう。
そうすると、エディタの右側の欄に
「ServiceDll」というダイナミック
リンクライブラリがあるので、その中の
「データ」の部分をチェック。
>C:WINDOWSsystem32wuauserv.dll がある場合 → ○感染無し。
>C:WINDOWSsystem32wzcsvbxm.dll 等それ以外 → ×感染の恐れ大〜０８０７２９追記〜WindowsVistaをお使いの方は
「wuaueng.dll」となり、これで感染無しです。
〜〜ここまで〜〜となります。((((ﾟДﾟ；))))ガクガクプルプル
幸い第七猫のＰＣは
「C:WINDOWSsystem32wuauserv.dll」となってます。
これと同様に、先ほどの?
ControlSetxxxの002も確認してみましょう。
同じ様なフォルダ構成になっていますので、簡単に見つかると思います。
「002」のフォルダを開き、
Servicesを開きましょう。
同様に沢山のフォルダの最後の方にある
「wuauserv」を探します。
見つけた
wuauservを開いて、その直下の
Parametersをクリック。
そうすると、右の欄に同じ様なデータ
「C:WINDOWSsystem32wuauserv.dll」が見られますのでここも確認ですね。
どうやら２つとも
「wuauserv.dll」だった模様…ヽ(´Д`；)ﾉふぅ…
さて、xxx（数字の部分全て）を見終わったら残るは↓
>HKEY_LOCAL_MACHINE→SYSTEM→CurrentControlSet→Services→wuauserv
>→Parameters
こっちも見ないといけません。
同じ様に、001、002と同列の中に
「CurrentControlSet」があるので開く。
すると中に
「Services」がありますね！これを開くとまた大量にフォルダが
あるので、下の方を探しましょう。
wuauserv→Parametersと開くと、右の欄に同じ様なdllのデータが見られます。
これも無事
「wuauserv.dll」だったか…
以上の確認が出来れば、今回のウィルスには
感染していないと思われます。
万が一、wuauserv.dll以外の物が登録されていたり、
wzcsvbxm.dllという物が
見られた場合は感染の
可能性大です！！ヽ(´Д`；)ﾉｱｩｱ...
【万が一感染が確認された場合】今回のウィルスで一番厄介なのが、
Windowsのレジストリを改竄している！という所。(；＾ω＾)ｂ
つまり修正しようと思った場合、
?セーフモードでＰＣを起動し、レジストリをいじれるだけの知識が必要。
?これを実施したとしても、完全に駆除できるとは限らない。という２点が挙げられます…（´・ω・`）
特にOSのレジストリという部分をいじるので、最悪
PCが起動不能になったり
動作異常を起こすきっかけになりかねませんので、ここで簡単に説明を
出来るレベルじゃねーぞッ！って事です…
(´；ω；｀)ブワッ
しかも危険を冒してレジストリ修正しても、
１００％じゃないとすると…
「感染が見られた場合は、クリーンインストール」これしかありません…ヽ(´Д`；)ﾉｱｩｱ...
正直、ＰＣをサラにしてもらうのが
一番確実です…
【今後どうすればいいのか？】一番恐ろしいのが、現時点で
ウィルス感染の経路が明確になっていない。という所…((((ﾟДﾟ；))))ガクガクプルプル
これが一番恐ろしい…今後、
被害が拡大する恐れが十分あります。
恐らくですが、
「Flashplayerの脆弱性」が狙われている可能性もあるようです
ので、もし「Flashplayer」をインストールされている場合は
アンインストールを
検討頂くのが良いかもしれません（´・ω・`）
第七猫のＰＣも、
テンプレ改竄以来Flashplayerは入っていません（汗
しかしこれ以外にも感染経緯がある可能性は、
十分考えられますのでお使いの
ＰＣのアップデートや、ウイルス駆除ソフトの更新等は忘れずに実施されるのが
まずは必要かと考えます。
正直、一部広告から云々かんぬんという報告も考えると…
●ＦＦをするＰＣではウェブ閲覧を控える●余計なソフトはインストールしないというのが、
最大の防御策でしょうかねぇ…ヽ(´Д`；)ﾉｱｩｱ...
もうね…いい加減にした方が良い(＃＾ω＾)ﾋﾞｷﾋﾞｷだお…
＊文中に
誤記、修正必要箇所ありましたらコメント頂けると幸いです。
