ホームページの改ざん

質問

JPCERT/CCより、2009年5月19日付けで「JavaScriptが埋め込まれるWebサイトの改ざんに関する注意喚起」というメールをプロバイダより受け取りました。
どうやら、うちのホームページもそうらしく、ホームページを開くとセキュリティーソフトが「Trojan-Downloader.JS.Gumblar.a」というのを検知します。
どのように対処すればいいのでしょうか。
よく分からないため、どのようにしたらよいのか、どなたか教えて下さい。
よろしくお願いしますｍ(__)ｍ

回答No.3

kenichi201

もう駆除されているかもしれませんが、念のため。
今現在、Gumblarに感染した際の駆除方法はセキュリティソフトによるスキャンか、Web上でセキュリティ会社が提供しているオンラインスキャンの二つしかありません。

まずは、お手持ちのセキュリティソフトでスキャンしてください。
それで検出できなかった場合は、オンラインスキャンです。
トレンドマイクロ：　​​http://www.trendflexsecurity.jp/housecall/​​
ESET:　​​http://www.eset.com/onlinescan/run_scanner.php​​
@Nifty:　​​http://www.nifty.com/security/vcheck/

後は、GumblarにかかったWebサイト運営者の方は見ておいたほうが良いと思ったページを見つけたので、参考にしてください。
今後の予防策などもわかりやすく解説されていたと思います。
http://www.seculead.jp/contents/2010/01/gumblar.html

回答No.2

redirect

マルウェアを集めてテストなどをしている者です。

HPの確認は

http://geno.2ch.tc/

http://wepawet.iseclab.org/

下のやつを利用する場合はResource typeでJavaScript/PDFを選択。

PCに関してはリカバリされたほうがいいと思います。

以下はPCにインストールされてるアプリケーションの脆弱性ないしはアップデート状況をチェックするものです。

http://secunia.com/vulnerability_scanning/personal/

http://www.kcsoftwares.com/?sumo

お礼

質問しておいて、お礼が遅くなってすみません。
ご回答ありがとうございます。
なかなか手をつけられないでいますが、やってみます。
また何かありましたら、質問させてくださいm(__)m
ありがとうございました。

回答No.1

usokoku

最初に
手元のサイト作成用パソコンがウイルスに汚染されていないかチェック。汚染されていれば、JAVAの該当部分を検索して削除
namespace gimite http://gimite.net/　で公開している　Devasで「function 」を検索すれば、JAVAの使っている部分がわかるはず(私はベクターからDLしました)。
JAVAがわからなければ、http://www.tohoho-web.com/。
注意点は、HTMLエディタを使わないこと。必ずテキストエディタ(ノートパット・メモ帳・sakuraエディタ等)で行うこと。

手元に公開しているファイルのコピー(ウイルス感染なし)がある場合
1.公開しているファイルを全部削除
2.手元のファイルを転送
手元に公開しているファイルのコピーがあるファイルとないファイル(掲示板データファイルなど)が混在しているとき
1.公開しているファイルを全部コピーして、手元に保存する(A)
2.公開しているファイルを全部消す
3.手元のファィルを転送
4.ウイルスに感染してもよいパソコンで、「手元に保存する(A)」の中にウイルスが混ざっていないかウイルスチェック。先頭に書いた方法でウイルスを消してから転送。

手元に公開しているファイルが一切ない場合
1.GetHtmlW http://www.vector.co.jp/soft/win95/net/se077067.html で全部DL。
2.先頭に書いた方法でウイルスを消す。
3.サイトに転送。

大雑把な流れは以上です。

それで、「自分でよくわからない」と思った場合には、サイトを全部消して、最初から全部作り直すことをすすめます。

入手可能かどうかわかりませんが、ネットスケープの3.01JAを入手できたのであれば、NE3.01Jは、ソースリストをエディタで直接編集できます。
サクラエティタ等の任意のテキストエディタで受信したキャッシュファイルの内容を直接編集できますので、ウイルス部分を見つけて消して、送りなおすという作業が可能です。

最後に、サイトのパスワード、ご自身のパスワード、その他個人情報を変更できるものはすべて変更してください。サイトの内容を変更されていた、という場合には、サイトのパスワードが盗まれていることが見当つきます。これが、サイトのサーバーマシンから盗まれたか、サイト作成用パソコンから盗まれたかは、わかりませんが、両方とも盗まれていると解釈するのであれば、サイト作成用パソコンがウイルスなどに感染して、個人情報が盗まれていると解釈できるからです。

お礼

早速のご回答ありがとうございますm(__)m
あまり詳しい方ではないので時間がかかるとは思いますがやってみます。
分からないことが出てくるかもしれませんが、その時はよかったらまた教えて下さいm(__)m
よろしくお願い致します。