火曜日, 1月 28, 2014

新型「CookieBomb」マルウェア転送クッションのdecoding方法（日本語版）

*) For the english reader, please use the Google translation to comprehend the context details or you can go straight skimming the screenshots to grasp the idea before translating, this writing is meant to raise awareness of the threat to my fellow countrymen, Japanese friends who got a lot of attack by the covered evil code.

*) 追加情報ですが、google,jsの分の細かいdecoding方法が別途内容ですので、アクセスはこちらです。英文ですので、理解が難しいならGoogle翻訳でを使ってください。

会社のウェブフィルタ製品からあやしいサイトの新しいアラートが沢山出ました。調べたらマルウェアの新しいコードインジェクションがはやったそうです。
アラートのソースは例えば下記からのサイトです。念のためにスクリーンショットを取りました。そのサイトは早めにマルウェアコードを消して下さいますようにね。


そのサイトのHTMLで下記のインジェクションパターンを見つかりました。

パートで見たらどんな物がさっぱり分かりませんね、decodeしないと。

【重要】因みに感染された日本国内サイトが多いです↓

credit: JP-CERT/CC :-)

CookieBombのコードをdecodingの方法はいくつかありますが、自分はマニュアルでいつもやりますが、今回このポストで皆さんも対応が出来る様に早い方法説明指します。
では、下記のやり方でおすすめです、好きなunixコマンドラインでHTMLを引っ張って、何処かのテキストに適当に保存して、ブラウザーまたはjavascriptの環境に渡せる様に準備して下さい。。。

オフラインで安全な環境で動かして見れば、webmonkeyでdecodingされちゃいます（＾ー＾v、使いやすいツールもあります。


あやしいURLを発見したので、次はシムレーションの環境を使って、大好きなwiresharkでアクセスしょう。。。

回答の中にまたあやしいコードを発見しましたね、そのコードを綺麗にして、そして下記のマークされたloopを外して。。。

そして、頭のコードだけを下記のように書いて、で安全な環境で実行すると宛先のCookie転送URLが出ましたね。


そのURLの感染動きが既に死んでいますので、前の自分の調査でまったく同じインジェクションも発見したので、現在クリーンアップ済みです。

本新型インジェクションは進化した「CookieBomb」のマルウェア転送コードです。Cookieはマルウェアサイトの転送（感染）条件となります。。
つまり、１回目でアクセスしたら感染サイトに転送にはなりませんが、代わりにCookieを保存されています、
その次のアクセスは保存されたCookieを発見した上でマルウェアサイトに転送されます。
一段階の感染は上記の内容で細かく書いたので、2段階のcookie仕組みについて分かり易い様に下記の図で書きます。


＊）「CookieBomb」の感染コード目的は「クッション」みたいに、マルウェアサイトに転送する機能を隠したいわけです。
＊）「CookieBomb」との単語でははじめて使っているのは私で、証拠はーー＞こちらです。現在本件のマルウェア感染仕組みの名前となります。
＊）その他「CookieBomb」の調査を英文「MalwareMustDie」のブログにも書きましたので、良かったらこちらへご覧ください。
＊）この感染が結構はやっています。下記はGoogleの検査情報、検索結果のヒットを見て下さい↓


追加情報↓















その他の感染されている国内サイト：




TO BE NOTICED: All of the findings and exposed material in this site is belong to the site owner and is an original
materials. Any COPY of research material without written permission from unixfreaxjp/site owner is strictly prohibited. Any attempt to camouflage and attempt to owning this research material will be prosecuted by law.
Posted by unixfreaxjp at 8:05 午後

0 件のコメント:

コメントを投稿

登録: コメントの投稿 (Atom)