木曜日, 2月 09, 2012

【マルウェア警告】#OCJP-009： elanjapan.co.jp（210.157.5.15）のjavascript経由トロイ（TROJAN.JAVASCRIPT.IFRAME）を発見！



久しぶりjavascriptマルウェアの調査です。その前に以前ゼロデイジャパンに私が沢山javascriptマルウェア調査方法の内容を書きました↓

↑上記の調査方法を使うとjavascriptマルウェアの調査が誰でも出来ると思いますので、自分はマルウェアのバイナリー調査を集中しています。javascriptマルウェアの調査は止めようと思っていました。
今回たまたまリクエアストがありますので、ある日本のウェブサイトがjavascriptのマルウェアに感染されたと、よく調査したらBLACKHOLEのマルウェアサイト経由のリダイレクターjavascriptです。
その調査内容を下記説明させて頂きます↓

感染されたサイトは↓

elanjapan.co.jp
感染されたURLは↓

hxxp://elanjapan.co.jp/ski/
hxxp://elanjapan.co.jp/ski/index.html
ダウンロードの証拠今日のです↓

--20:51:23--  hxxp://elanjapan.co.jp/ski/
           => `index.html'
Resolving elanjapan.co.jp... 210.157.5.15
Connecting to elanjapan.co.jp|210.157.5.15|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 4,768 (4.7K) [text/html]
100%[====================================>] 4,768         --.--K/s
20:51:24 (251.12 KB/s) - `index.html' saved [4768/4768]
調査内容↓

index.htmlの中身を見たら不通のHTMLを見えますがjavascriptのコードがあります。
秀丸で見たらこんな感じですね↓

↑下記のコードの”あやしい”ポイントは↓
・(p,a,c,k,e,d)という文字
・obfuscatedコード発見
・code injectionっぽいのSTRINGも発見

では上記のコードを私の大好きなencoder/decoderツールに持って行きましたので
こんな感じですね↓


javascriptマルウェアのコードにはeval()の部分が絶対に隠されていると思って
実行してみてシムレーション環境で）、やっぱりevalが出ます↓

↑evalのオブジェクトをファイルに保存する設定したので、そのファイル中身は↓


見辛いので、分かりやすい様に再書きました↓


↑上記のscriptはcookieが有効ブラウザで実行が出来るようになると。
それは分かった上で、ブラウザ・シムレーション環境を作って実行しました...
ほら！中身は分かりました↓（笑

↑説明は↓
・document.writeに書いたコードを上のロジックで回すとIFRAMEのコードが出ました。
・IFRAMEの中身はマルウェアサイト「http://zrywfrpeo.bounceme.net/....」へ飛ばされます。
・本物ブラウザで実行したら「about:blank」ページが出てからあのサイトへ飛ばさせます。
どんなマルウェアサイト？

zrywfrpeo.bounceme.netのサーバ迄に調査しようと思ったが現在ダウンされています。
色んなブラックリストサイトの履歴を検索したらzrywfrpeo.bounceme.netとは
マルウェアスクリプトのバウンサー(bouncer)だと確認が出来ました。
バウンサーの仕事はマルウェアサイトへ転送する事です。
見やすいように下記のURLで検索してくれたら↓

下記の確認結果が出ますね↓

ネットワークルート図↓

マルウェア元のサイトは何処にありますか？↓

どんなマルウェアサイトかというと、色々確認したら間違いなく下記の動きがあります↓
zrywfrpeo.bounceme.net, nf1.no-ip.com => 50.31.129.129 
↑50.31.129.129のサイトは有名なExploit Kit/BLACKHOLEサイトのIPアドレスですね。
結論↓

1. index.htmlを感染するマルウェアが現状もはやっています。
2. 本件、hxxp://elanjapan.co.jp/ski/が「TROJAN.JAVASCRIPT.IFRAME」に感染されました。
3. 感染された所は＜body＞タグの直ぐ次、又は＜/html＞タグの直ぐ前の所です。
4. オンラインでスキャンしたらこの【スキャン結果】となります↓

Antivirus  Result  Update
--------------------------------------------------------
AhnLab-V3  -  20120203
AntiVir  JS/Agent.alf  20120203
Antiy-AVL  -  20120203
Avast  JS:Iframe-DV [Trj]  20120203
AVG  -  20120204
BitDefender  Trojan.JS.QNC  20120204
ByteHero  -  20120126
CAT-QuickHeal  -  20120203
ClamAV  PUA.HTML.Crypt  20120204
Commtouch  -  20120204
Comodo  TestSignature.JS.iframe.YU  20120203
DrWeb  JS.IFrame.178  20120204
Emsisoft  Trojan.IframeRef!IK  20120204
eSafe  -  20120202
eTrust-Vet  JS/Iframe.II  20120203
F-Prot  -  20120201
F-Secure  Trojan.JS.QNC  20120204
Fortinet  JS/Kryptik.EG!tr  20120204
GData  Trojan.JS.QNC  20120204
Ikarus  Trojan.IframeRef  20120204
Jiangmin  -  20120203
K7AntiVirus  -  20120203
Kaspersky  -  20120204
McAfee  -  20120204
McAfee-GW-Edition  -  20120203
Microsoft  Trojan:JS/Iframe.AC  20120204
NOD32  JS/Kryptik.EG  20120204
Norman  JS/Exploit.MC  20120203
nProtect  Trojan.JS.QNC  20120203
Panda  -  20120203
PCTools  -  20120204
Prevx  -  20120204
Rising  -  20120118
Sophos  Mal/Iframe-Gen  20120204
SUPERAntiSpyware  -  20120203
Symantec  -  20120204
TheHacker  -  20120203
TrendMicro  JS_IFRAME.SMDZ  20120204
TrendMicro-HouseCall  JS_IFRAME.SMDZ  20120204
VBA32  -  20120203
VIPRE  Malware.JS.Generic (JS)  20120204
ViRobot  -  20120204
VirusBuster  -  20120203
引き続きに付いて↓
本件のマルウェアはTROJAN-JAVASCRIPT-IFRAMEのマルウェアです。
ウェブサーバのファイルに感染したら上記のマルウェアコードが追加されます。
本件のマルウェアに感染されたサーバには他のファイルをウイルススキャンでスキャンした方がいいと思います。
また、ホスティング会社の環境でしたら周りのサーバのトップページをリモートでチェックして下さい、
感染されるかどうか一応確認が必要、遣り方が簡単で、wgetしてindexファイルをスクリプトでAVスキャナーへ
回すだけです。

下記は同じケースのリファレンス↓
http://isc.sans.edu/diary.html?storyid=2923
http://www.precisesecurity.com/trojan/htmliframe-js-trj
https://community.mcafee.com/thread/19249

----
ゼロデイ・ジャパン　http://0day.jp
マルウェア研究者：　アドリアン・ヘンドリック / Hendrik ADRIAN
Sponsored by: 株式会社ケイエルジェイテック
Posted by unixfreaxjp at 10:27 午後

2 件のコメント:

  1. unixfreaxjp2012年2月9日 23:15:00 JST

    本件のbounceサイトとblackholeサイトを海外のルートで報告し、対応済みです。感染されたサイトのアドミンがかわいそうですので、彼らに報告しておきます！

    返信削除
  2. unixfreaxjp2012年2月10日 14:10:00 JST

    本件のマルウェア元のサイト(Blackhole ExploitKitサイト)が直されたそうです。
    海外ブラックリストDBにnf1.no-ip.comと50.31.129.129が削除だれました。
    6時間対応ですが…もっと早めに欲しいですね。

    返信削除

登録: コメントの投稿 (Atom)