Gumblarはどこに感染していたのでしょうか。

質問

Gumblarはどこに感染していたのでしょうか。

OSはWinXP、ウイルスバスター2009を利用しています。普段使用しているブラウザはOperaです。

先日4月1日、ウイルスバスター2009のセキュリティダッシュボードを見たところ、
3月30日に「POSSIBLE_GUMB-3」（Gumblar）と「JS_ONLOAD.SMC」が発見されていたとありました。
2つは同時にリアルタイム検索で発見されていたらしく、自動的に前者はロック（その後隔離されていたファイルを自分で削除しました）、後者は削除されています。

その後のバスター最新定義ファイルでのウイルス検索、また他社のオンラインスキャンでの検索両方でウイルス等は発見されませんでした。
PCにも特に異常はありません。
ローカルのHTMLファイルのソースもすべて確認しましたが改ざんの形跡はありませんでした。
その1日前にWebサイトをFTPツール（HPビルダー付属の物）で更新しましたが、更新先のページにも改ざん形跡はありません。

ここからが疑問点です。
ウイルスの発見場所はOperaのキャッシュフォルダ内・ウェブサイトのキャッシュでしたので、Web経由で入った物がブロックされたのだろうと思っていましたが、セキュリティダッシュボードのログには「感染元：ファイル転送」とあります。
そのような時間にFTPツールを使った覚えはありません。
また、仮に自分から送信したファイルが感染していたなら、自分のローカルに保存されていたHTMLファイルなりがウイルス検索に引っかかっているはずだと思うのですが、何故か引っかかったファイルはOperaのキャッシュファイルです。

一つ思い当たる点を上げるとすれば、FC2のファイルアップロード機能でウェブサイトを更新しようとした点ですが、それも時間が合いません。（そもそもファイルアップロード機能はFTPではないような気もします）

一体どういうことなのでしょうか。
まだ私のPC内にはウイルスが存在しているのでしょうか。

気味が悪いのでパソコンをクリーンインストールしようと考えているところですが、どうも釈然としません。

回答No.2

John_Papa · ベストアンサー

一般的なガンンブラー攻撃パターンですね。通常のホームページと同じくブラウザのキャッシュホルダにダウンロードされます。
Gumblarはホームページ改ざんで仕込まれたテキスト、JS_ONLOAD.SMCはGumblarにより呼び込まれた（リダイレクトされた）中継サイトのテキストスクリプトで、この度はウイルスバスターにより実行前に削除された為
そこで攻撃は終わり、　→バイナリのダウンロード→感染　に至らなかったということです。

度々お勧めしている、Microsoft Updateと、下記リンクのMyJVN バージョンチェッカで脆弱性をチェックし対策しておくと、ウイルスバスターで検出できないGumblar（大変多い）でも、安全度は向上します。
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK
未対策でしたら是非。

お礼

回答ありがとうございました。
やはりWeb閲覧からの感染だったのですね。
詳しい情報も教えていただき安心しました。

ガンブラーが出回り始めてからMicrosoft　Update、Adobe製品のスクリプト実行Offなどの対策はしてきたのですが、このような便利なサイトがあったとは驚きです。早速実行し、使用ソフトを最新版にアップデートしました。
当時は別段怪しいサイトも見ていませんでした。どこが改ざんされているか分かったものではないので恐ろしいことです。
これからも気をつけるようにします。ありがとうございました。

回答No.1

foomufoomu

べつにおかしいところはないと思います。
ファイル転送＝ファイル（=データの集合体）をある場所から別の場所へ移動すること。ファイルのコピー、メールの送信、フロッピーでデータを搬送・・・すべてファイル転送です。
で、あるサイトの閲覧中にウィルスバスターがGumblerを見つけたわけですが、ブラウザは、サイトからhtmlデータを自分のPCのメモリに転送して表示すると同時にキャッシュファイルに書き込みます。実体として残っているウィルスはキャッシュファイルのみです。おそらくウィルスバスターはメモリ内のGumblerも退治したのでしょうが、記録としてはキャッシュのみという扱いなのではないでしょうか。

お礼

解決しました。
迅速な回答に感謝します！

補足

回答ありがとうございます。
なるほど、確かにブラウザのキャッシュファイルはそのようなものですよね。
（なぜかウイルスバスターのヘルプには、「ファイル転送」が具体的に何を指すのかの説明がないのです。
「メール送信」「Web閲覧」などの項目はわかるのですが・・・）

それでは、
「その時に見ようとした不正なWebサイトから感染しかけたが、バスターによって防がれた」
「こちらからウイルス入りページを送信しようとしたわけでない」
「結局、今のところPC上にウイルスは存在しない」

という解釈で良いのでしょうか。