ニコニコ動画などのマイクロアド提携広告から偽FlashPlayerをダウンロードさせられる件

びわ @biwam

おやおや、完全偽物のFLASHサイトダウンロードページが出てしまった。

ntddk @ntddk

ニコニコ動画でタグを辿ろうとするとdonwloads.cnmup .bizとやらに誘導されて明らかに偽物のFlashPlayerが落ちてくる。VirusTotalの検出率は11/54だった。ads.yahoo .comから飛ばされてる？

ntddk @ntddk

6分前にまとめができていたけど情報量が少ない peercast.net/archives/2014_…

ntddk @ntddk

ニコニコ動画からポップアップを通じてマルウェア配布サイトに誘導される問題、ads.yahoo .comからhuanqiutrack .comを経由してdownloads.cnmup .bizに飛んでいるのを確認した、と思ったらポップアップが出なくなった。何があったのか……。

ntddk @ntddk

ニコニコ動画の問題ではなく広告側の問題なんですかね。

okuoku @okuoku

おとといくらいにlivedoor blogで見たときは downloads\.player.net.wuz.club でした。気まずい広告が混ってたんですかね。@ntddk

ntddk @ntddk

クッキーを削除してタグ表示(/VideoExplorer)で再現しますね。ニコニコ動画ではなくYahooリスティング広告がやられてる。

びわ @biwam

Flashダウンロードしようとしたら、ESETにブロックされた。 twitpic.com/e6frqk

拡大

ntddk @ntddk

ニコニコ動画からポップアップで飛ばされた先の偽FlashPlayerをVirusTotalに投げた結果 virustotal.com/ja/file/60ffd5…

びわ @biwam

怪しげなCNMUP.BIZをWhoisしたら、パナマと出た。whoisguard.comとも出たので、証跡を消してるな。「91.236.116.83」を検索したら、スウェーデンか。Portlane Networkはホスティング。ふむふむ。

びわ @biwam

Bingの広告でもわかるけど、Yahoo広告は嘘サイト、詐欺サイトへのポータル（ここでの意味は入り口）サイトと断言しても良いシステムなので、気をつけないといけない。

びわ @biwam

VMwareの無防備PC（スナップショット取得済み）でさっきの偽Flashをキャプチャ。「COMODO Code Signing CA 2」でちゃんとデジタル署名されてる。署名者は「OUTBROWSE」洒落が効いてるな。

Tsukasa #01 (fully vaccinated) @a4lg

oO( 確かにこのマルウェア、電子署名こそされてるけど副書名にタイムスタンプがない。 )

びわ @biwam

うちのFirefox環境では、もみあげチャ～シュ～はCookieを削除して再読み込みしたら、必ず偽Flashサイトに行くな。

びわ @biwam

キャプチャしたsetup.exeをVirusTotalにアップロードしてみたら、McAfee、TrendMicro、Symantecは反応なし。検出率は「11 / 54」なるほど、確かに日本向のマルウェアだな。

びわ @biwam

署名の署名日は2014/4/7 9：00有効期間が2015/4/8までだから、1年限定で活動する予定のマルウェアか。ふむふむ・・・・BZエディタで中見てみたけど、特に変なメッセージは無し。

びわ @biwam

Qihoo-360(Malware.QVM06.Gen)、Sophos(OutBrowse Revenyou)、VIPRE(OutBrowse (fs)) 以上、今回のウイルス名。ヨーロッパ圏の対策ソフトが検出してるので、ヨーロッパの新型ウイルスを日本向けに持ってきたのか。

びわ @biwam

日本の最大ウイルス対策ベンダと、カスペルスキー、Fortinetも検出しないウイルスとは久しぶりに進んでるウイルスキャプチャできた。とりあえず「もみあげチャ～シュ～」には近づかないことを推奨します。

びわ @biwam

これはしかるべき機関がYahooリスティング広告に言って止めてもらうか、Yahooリスティング広告のリンク消さないと対策にならない。

びわ @biwam

てっきりまとめサイトハックでもされたかと思ってたのに、調べてみると結構影響範囲広いなこれ。3大ウイルススキャン（McAfee、TrendMicro、Symantec）ではまだ検出できないので、脅威が怖い。

KOIZUKA, Akihiko @koizuka

確認のためにこころぴょんぴょんするか

137P（ヒャクサンジュウナナ） @hyakusanjunana

@koizuka 狐29.0.1でも起こりました。初回閲覧時のみで、2回目以降は起こりませんでした。

びわ @biwam

@koizuka ニコニココミュニティ→いきなり古いFLASH→偽サイト「cnmup.biz」に誘導。1回誘導されたら、成功失敗関係なく、2度と行かないです。再現させるためにはCookie削除してブラウザ再読み込みです。

びわ @biwam

@koizuka ニコ生の場合「adf.send.microad.jp」経由です。中身に胡散臭いYahooリスティング広告埋め込まれてます。

KOIZUKA, Akihiko @koizuka

クッキー消して未ログインでニコ生トップ開いたら出た…!