Firefoxを狙ったスパイウェアなのでしょうか？？

質問

Win XP / Firefox 2.0です。
最近ヤフオクや銀行その他のID等を求めるページで、「Webサイトが未知の認証局により承認されています」と大きめのダイアログボックスが出てきます。
スパイウェアの駆除をしてもウイルスチェックをしてもだめ。
　　　（Ad-Aware SEとSpybotを使用）
システムの復元もFirefoxの再インストールでもだめ。
Firefoxのセキュリティレベル？等をいじってもだめ。
IE7では問題なく表示されます。
どうなってるんでしょうか？？？？？

全文は下記の通りです。

=================================================

Webサイトが未知の認証局により承認されています

***.*********.co.jpが信頼できるサイトであると確認できません。

このエラーの原因は次のいずれかと考えられます：
-このサイトの証明書を発行した認証局が不明です。
-このサイトのサーバ設定ミスによりサイト証明書が不完全です。
-あなたの個人情報を入手するために***.********.co.jpであると偽装しているサイトに接続しようとしています。

この問題をサイトの管理者に知らせて下さい。

この証明書を受け入れる前に、このサイトの証明書を注意深く審査して下さい。Webサイト***.********.co.jpを識別するためにこの証明書を受け入れますか？

「証明書を審査する...」　←ボタンです
○今後この証明書を受け入れる
◎このセッションの間だけ一時的に証明書を受け入れる　　
○この証明書を受け入れず、サイトに接続しない

↑以上、こんな感じです。

この状態が現れた２・３日後にWinのFirewallの画面が出て、Firefoxをブロックしますか？とメッセージが出ました。
今までこの状態でFirefoxが動いてたので、「？」と思いそれについては一応ブロックしました。

Firefoxに寄生して情報を集めて送信でもするのかと思い不安になってます。

どなたか、そっち方面の知識のある方、助言をお願いします！！！

＊　　以前ブラウザのカテゴリで質問させて頂いたのですが、
　　　解決しないので、こちらで質問させて下さい。
　　　一応前回のその質問は閉め切りました。

回答No.3

ryu-fiz · ベストアンサー

まず、

>Firefoxを狙ったスパイウェアなのでしょうか？？

その可能性は非常に低いと思います。『こういうことも可能だ』という意味合いで公開されたその種の拡張機能はあるようですが、実際に悪用されたという話は聞いたことがありません。そもそも、ユーザーが許可を与えたサイトからでないとこうした拡張を組み込むことも出来ませんので、Firefoxに寄生した感染の線は非常に薄いと思います。

ですが…結論から言うとこの現象、やはり何らかの感染によるものである可能性が高いと思います。具体的にはHOSTSファイルの改ざんなどによって特定のサイトドメインへのアクセスが他に転送される、いわゆるファーミングが発生しているのではないかと。

http://hotwired.goo.ne.jp/news/20050317303.html

HOSTSファイルのチェックは、次のページを参考にすれば行うことが出来るでしょう。
http://www.higaitaisaku.com/hosts.html

>IE7では問題なく表示されます。

IE7ではサーバ証明書の認証を確認するプロセスが標準で厳しくなったため、状況を緩和するためにその辺の設定を変更する方が多いと思います。

http://takagi-hiromitsu.jp/diary/20070415.html#p01

『サーバー証明書の取り消しを確認する』などの設定をゆるくした結果、IE上ではFirefox上で行われたようなサーバ証明書の不備が警告されなかったということなのではないでしょうか。

いずれにしてもHOSTSファイルだけが改ざんされるということはあまり考えにくく、別に何らかの感染、あるいは不正侵入が発生している可能性が高いと見ます。

>スパイウェアの駆除をしてもウイルスチェックをしてもだめ。
>　　　（Ad-Aware SEとSpybotを使用）

それでもやはり感染に遭っていた、というケースは珍しくありません。
最も推奨される対応策はリカバリです。PC上で扱った個人情報が漏洩している可能性も非常に高いと思いますので、可能な限り変更をかけておくべきではないかと思います。

釈然としない、とおっしゃるかも知れませんが、当然でしょう。しかしながら、Firefoxを再インストールしても証明書関係の警告が続く、ということからすると、少なくとも私には、問題の発生しているサイトが詐称されているようにしか思えないのです。

この回答の内容が信用出来ない、とお考えならここでの質問を締め切り、higaitaisaku.comの質問掲示板への移動をお勧めします。あちらなら、もう少し突っ込んだ検証をアドバイスしてもらえる可能性が高いと思いますし、単にツールを動作させただけでは改善出来ない症状が治る見込みも残されていると思いますので。

http://www.higaitaisaku.com/

お礼

HOSTSファイルの改ざんなど、知らない事だらけで助かります。

higaitaisaku.comにあるようにセーフモードでAd-Aware SEとSpybot、ついでにノートンの「システムの完全スキャン」を試してみました。
結果は？？？です。

やっぱりリカバリですかね・・・。
かなり面倒だけど、しかないのかな。

いずれにしろ、有益な情報ばかりでした。
本当にありがとうございます。

回答No.5

waros99

こんにちは。

ボクはその筋のコミュニティーの潜入調査やVirtual Machine上でAVのスキャンやPFWの検知を欺くMalwareの動作解析みたいなことをやってます。

※参考
https://www.netsecurity.ne.jp/1_10067.html

お礼

非常に有益なサイトで、私の問題に非常に近いものもあり参考になりました。
ありがとうございます。

しかし、対応策が公表されていないというのは、対応策は無しと考えたほうがいいですね。

残念・・・・。

回答No.4

kazuof23

お節介ですが、Norton SystemWorks 2004の更新サービス終了日が来月（2007年10月17日）で完了し2004版のままでは更新出来ないので、新しいセキュリティソフトが必要になります。
http://service1.symantec.com/SUPPORT/INTER/japanesecustserv.nsf/jdocid/20030919114134945?Open&src=jp_sg&docid=20040206144851945&nsf=SUPPORT%5CINTER%5Cjapanesecustserv.nsf&view=11ea5eb60c47e5c085256c470046ed2f%20url%3a/inter/japanesecustserv.nsf%20url%3a/inter/sharedtechjapanesekb.nsf%20url%3ainter/tsgeninfojapanesekb.nsf*qt=%83m%81%5B%83g%83%93%83a%83%93%83%60%83e%83c%83%8b%83x%82q%82o%82o%82q%20%83t%83%7C%81%5B%83g%8a%fa%8a%d4*miniver=nav_2003*pcode=nav*la=ja%3C%3E&sone=nav_2003_tasks.html&stg=3&prod=norton%20ant

お礼

次はそんな問題も待ってたんですね。
前もって教えて頂きありがとうございます！！

回答No.2

FMVNB50GJ

windows XP SP2 fire fox2.0.0.6

証明書のものはみたことはありますが、自分にはわかりません。たいてい、◎このセッションの間だけ一時的に証明書を受け入れる　を選択しています。よくわからないのですが、そうしています。

偽装サイトは、質問者さんの取引している銀行などから偽装サイトがあるなどの知らせがあるはず。

注意点として、
http://japan.cnet.com/news/sec/story/0,2000056024,20352586,00.htm?tag=nl

fire foxにサイトアドバイザー・ノースクリプトを入れては。
http://www.siteadvisor.com/download/ff.html
https://addons.mozilla.org/ja/firefox/addon/722

windowsファイアーウォールの設定ですが、自分の場合は、ルーター無しの直付けなので「例外タブ」の設定に例外とするプログラムの項目をすべて無しにしています。
windowsファイアーウォールは、フリーのものなどと比べて、ゆるいです。
自分も使用していますが、ウイルス・スパイウェア対策に自信ないときこれを使うのをすすめません。

ウイルスチェック
手持ちのものですか。カテゴリー的に、どれを使っているのかぐらい表示しては。

手持ち以外ならオンラインです。フリーで非常駐のものもあります。
http://www.clamwin.com/
http://www.f-secure.co.jp/v-descs/disinfestation.html
↑これはIEを使う

ルートキットスキャナーは、
http://www.f-secure.com/blacklight/
マカフィーからも出ました。
http://vil.nai.com/vil/stinger/rkstinger.aspx

少し記事古いですが、可能性。
http://www.atmarkit.co.jp/fsecurity/special/30xss/xss01.html
http://itpro.nikkeibp.co.jp/article/NEWS/20061113/253479/
この場合だと何をどうしたらいいなど詳しく知りません。自分とサイトとの関係にほかの脆弱なサイトがかかわっているらしいですから。

システムの復元を多用しているらしいですが、問題のプログラムの再インストールをするくらいならやるべきではないと思います。

ルーターの場合、次のような記事を読みました。
http://www.computerworld.jp/news/sec/58369.html
考えすぎかもね。

ごみ掃除
http://www.higaitaisaku.com/atfcleaner.html
システムの復元をいったん無効にして、有効にする。
その後、マイクロソフトアップデートを手動で確認。セキュリティソフトの更新の確認。

お礼

とりあえずFirefoxにアドオンを入れて様子を見てみます。
ちなみにウィルスチェックのソフトはノートンシステムワークス2004のアンチウィルスです。
色々な情報ありがとうございました。

回答No.1

noname#151570

「***.********.co.jp」は、E7で問題なく受け入れられているサイトなのでしょうか？

そうでしたら、そのようなサイトには私はまだ出くわしていませんので、詳しくは判りませんが、次の例のように、ＳＳＬ通信を行うための証明書に関しての警告ではないですかね。
手続きをしてみたらどうですか。

不安があれば、そこに問い合わせて確認されたらいかがですか。
http://www.nskg.co.jp/cacert/install.html
http://wwwsoc.nii.ac.jp/jsfwr/topics/ssl.html

補足

ご回答ありがとうございます。
上記のダイアログボックスが出るのは、おそらくSSLのページのほとんどだと思われます。
例えば、通販の個人情報のページや、このOKWavenoログインの時、ヤフオク、eBay、銀行系のHP、グーグル検索結果の一覧のアドレスにSSLのページがある時、その他何かにログインする時などなど・・・。
これらすべてのページはIE7では何の問題もなく表示されます。

僕も問い合わせてみようと思いましたが、きりが無いのでやってません。

何かが原因でFirefoxの中の証明書が削除されたんでしょうか？？