RV-440NE(N)

質問

こんにちは、いつもお世話になっています。

イベント: ダウンロードがブロックされました
ユーザー: OEMCOMPUTER\ここは私の名前のユーザー名
ユーザー種別: イニシエーター
アプリケーション名: VirtualBoxVM.exe
アプリケーションのパス: C:\Program Files\Oracle\VirtualBox
コンポーネント: セーフブラウジング
結果の説明: ブロック
種別: トロイの木馬
名前: HEUR:Exploit.HTTP.CVE-2017-5638.gen
精度: ヒューリスティック分析
危険性: 高
オブジェクト種別: ファイル
オブジェクトのパス: http://ntt.setup
オブジェクトのMD5: 32D1EA36684931BA455EF42E1FA0E795
理由: エキスパートによる分析
定義データベースの公開日時: 昨日（2024/01/21 18:55:00）

質問ですがこれは攻撃されているのでしょうか？
nttのルータが原因だとしたらどう対応したらよいでしょうか？
virtualboxを使っている最中にトロイの木馬が送信されてきました。
ご教示宜しくお願いします。

回答No.4

kawais070_1

すいません。Linuxはあまり得意ではないので、とりあえず、
「ClamAV　重い」というキーワードでググって、いろいろな情報が出ると思いますので、そちらで何とか…

お礼

回答ありがとうございます。
重くなるのは回避できそうにないですね・・。

回答No.3

kawais070_1

LinuxならとりあえずClamAVですかね。
https://pc.watch.impress.co.jp/docs/column/ubuntu/1479414.html
自分はUbuntuくらいしか触ったことがないけど、他のディストリビューションでもClamAVは使えるんじゃないかと思います。

お礼

回答ありがとうございます。
今現在debian12でclamAVをインストールしたのですが
重すぎて機能しないのですが
どうしたら機能しますか？
宜しくお願いします。

回答No.2

asciiz

「ntt.setup」は、インターネット上に出ておらず、ルータ内で自己解決している仮想ドメインです。
RV-440NE自身が、DNSアクセスをフックしていて、「ntt.setup」という名前を、自身のアドレス(192.168.1.1)に変換してしてWebページを表示します。

しかしこのことは、第三者(アンチウイルスソフト)から見れば、存在しないドメイン(orサーバ名)「ntt.setup」に対して、悪意のあるIPアドレスの勝手サイトにリダイレクトしているような形に見えるので、不正動作監視の観点から、Web表示がブロックされたという訳でしょう。

ですが別に、RV-400NTはNTTが公式にレンタルしている正規の機器ですので、マルウェアなどは入っていません。

始めからきちんと、IPアドレス直指定のサイトにアクセスするんだ、と明示することで、普通に開けるかもしれません。
ルータ管理画面を「http://192.168.1.1」というURLで開いてみてください。

お礼

回答ありがとうございます。
192.168.1.1の設定するためのアドレス自体にはアクセスはできます。
しかしなぜトロイの木馬がブロックされているのかそこが不思議でなりません、どのような仕組みで送信したトロイをブロックしたのでしょうか？
そのトロイの木馬自体は、Jakarta のプラグインを使っている脆弱性があるサーバーに対して送られるとwebページに書いてあったのですが。

補足

すみません、補足です。
nmapで--script vulnでスキャンをかけると
タイミングよくトロイの木馬がブロックされます。

回答No.1

kawais070_1

VirtualBoxで動かしている、ゲストOSがウイルス感染したかも。
ゲストOSは何でしょうか？可能ならゲストOSにもウイルス対策ソフトを入れましょう。

お礼

回答ありがとうございます。
ゲストOSは、debianの(もう片方は、ubuntu)最新バージョンです。
ウィルス対策ソフトですか・・・、何がいいですかね。