サイトからトロイの木馬検出

質問

Windous7、Internet Explorerを使用しています。
趣味でホームページを運営しているのですが、先日、管理画面を開いたらサーバーさんから

当サービスで独自に行なっているウイルスチェックにおいて、
トロイの木馬がウイルス感染ファイルとして検出、削除されました。

と通知が届いていました。

自分のパソコンが感染してしまっているのかと思い、慌ててウイルスバスタークラウドとマカフィーで
ウイルスチェックを行ったのですが何も検出されませんでした。
何かファイルをダウンロードしたり開いたりしたときに
トロイの木馬が検出されました、とメッセージが表示された覚えもなく、
どこで感染してしまったのかわかりません。

ウイルスやその対策についての知識がほとんどないないので、
何をすればいいか、どう対処すればよいかわからず、不安でしかたがないです。

どこから手をつけていけば良いか、アドバイスをいただけると非常に助かります。

回答No.3

John_Papa

この件に関して、IPAから6月4日に呼びかけが成されました。
https://www.ipa.go.jp/security/txt/2013/06outline.html
その内容は、No.1回答どおりですね。
ご参照ください。

なお、No.1回答の『SMSプログラム』は、一般的な名称『CMS(Content Management System)』と読み替えてください。
私の使っているCMSの名称がSMSなのでそれを使ってしまいました。

回答No.2

Deep_Scan

>サーバーさんから

サーバーの運営会社でしょ？

>当サービスで独自に行なっているウイルスチェックにおいて、
トロイの木馬がウイルス感染ファイルとして検出、削除されました。

対象のオブジェクトがわからいし、なんと言うウイルスかも具体的にわからないし。

とりあえずは、アクセスするためのID、Passは変更することですね。

それと、不正に悪意のあるスクリプトなどが埋め込まれた事例だとしたら運営会社が責任を取らないと駄目ですね。

一応、以下は相談できるところです。

http://www.ipa.go.jp/security/contact/

回答No.1

John_Papa

サーバーが、雑居なのか単独なのかクラウドなのか判りませんが、一般的にパスワードが破られるのが最多原因です。
自分のパソコンが感染していなくてもパスワード変更は必須と思います。

確かにサイトオーナーのＰＣが感染してパスワードが盗まれてDrive by download用に改竄されたという事が2009年に頻発しました。当時はGENOとかGumblarとかのサイト名をウイルス名につかっていましたが、現在は攻撃手法名でDrive by downloadに一括されています。

パスワードは他所に使い回しをしないのが鉄則です。また、類推可能な安易な（短い事も含む）文字列も破られやすいです。
実世界でも「おれおれ詐欺　改め　成りすまし詐欺」では、手当たり次第ではなくターゲットのプロファイルを事前に入手して、対応するストーリーを組み立てて芝居をするように変わって来ております。
Drive by downloadの仕込みサイトも、手当たり次第ではなく空気を読んで、大衆が警戒心を抱かずアクセスしてくれそうな、旬な話題のサイトが選ばれる傾向がありますので、普段からサイトオーナーのプロファイル収集をしているのではないかと思います。パスワードも同僚や家族を通じて漏れているかも知れません。もちろん家族名やペット名・車のナンバー・誕生日などは駄目なパスワードの代表です。

-----パターン２-----
よほど古い（2008年以前という意味）サイトだと、パスワードを知らなくてもデータベースにアクセスできるSQLインジェクションに未対策で放置されているかも知れません。『管理画面を開いたら』とありますので何らかのSMSを使っていらっしゃる筈ですね。古いSMSプログラム（例えば初期のWP）など対応できるデータベースも古いままだし、これに随分やられたようですね。
この場合は、サーバー運営会社が対処するしか無いでしょう。データベースから入れなおすとなると、サーバーＯＳから替えなくてはならなかったりPHPやParlのプログラムに不具合が出たり、データコンバートがうまく行かなくて新規に作り直す必要が出る可能性もあるので、負担が大きくなかなか踏み切れないでしょうから。
サーバー運営会社がウイルススキャンを掛けているのは、その事は承知している表れかも知れないですね。
こちらの場合は、サイトにあるページデータをバックアップしてサーバー変更に備えておくべきでしょう。
ウイルス感染が繰り返されるようなら、運営会社のサーバーシステムのバージョンアップだけじゃなく、別のサーバーへ移転することも必要となるでしょうから。

URLが判ればOSやWEBサーバーソフトなどサーバーの諸元もある程度調べることができるのです（私にも調べる方法があるということは、それで飯を食ってる犯人には楽勝で判ると言うことです）が、それもない（でも書かれないほうが無難です）ので、踏み込んだ話にはなりませんが私の拙い経験から思いついた事を記してみました。