ルートキットに感染？？

質問

こんにちは。
どうやらルートキットに観戦した模様です。

情報収集で海外サイトを回ることが多いので感染ルートやタイミングは分かりませんが、ウィルス対策としてavast!の無料版はいれています。

症状としては、自分が運営している一部のサイトが、検索エンジン経由でアクセスすると外部のサイト（たぶん中華）にリダイレクトされてしまいます。アドレス直打ちなら問題なかったので、検索エンジン経由のみのようです。

この現象はサイト運営者である私だけではなく、複数のpc、複数のユーザーでもリダイレクトしまうようです。

自分だけの症状ならばウィルス対策ソフトのシステムスキャンでどうにかなりそうなものですが、このケースの場合（FTP内まで蝕まれている？）、どのように対処するのが良いでしょうか？

詳しい方、お願いいたします。

回答No.1

John_Papa · ベストアンサー

複数のサイトを運営されているのでしょうか？
その内の一部サイトで検索経由だとリダイレクトされる。それも自分だけでなく他の人も。
しかし、アドレス直打ち（IPですか？）だと問題ない。
ということでしょうか？

アドレス直打ちというのがドメイン名ではなく、数字のIPアドレスだというのなら、最もぴったりなのが、DNSキャッシュポイズニングと考えられますが、これはウイルスの仕業ではありません。ウイルスによっても同様のことはできますが、その場合症状が起きるのは感染ＰＣに限られます。
ここが仕分けに肝心です。複数のpc、複数のユーザーが同じウイルスに感染している可能性がどれだけあるのでしょうか？

DNS（ドメインネームサーバー）というのは、ドメイン名を数字のIPアドレスに置き換える仕事をしますが、ここが間違っていると正しいサイトに到達することはできません。世界に１３基のルートサーバーと枝葉のように多数のネームサーバーがありますが、世界中のＰＣがその都度（サイトのページ毎）ルートサーバーに問い合わせしていたのでは裁ききれませんので、プロバイダ等のネームサーバーが過去の問い合わせを一定期間保存（キャッシュ）して代理応答してくれるようになっているのを悪用する方法が、DNSキャッシュポイズニングで、詳しくは
http://www.nic.ad.jp/ja/newsletter/No40/0800.html
などを見てください。
上流（ルートサーバーに近い）のネームサーバーのキャッシュが間違っていたらそれより下流のサーバーも間違った情報をキャッシュする事になります。
この方法ならあなたの管理するサイトを別のIPにリダイレクトする他、もっと大掛かりに偽の検索サイトを作ってそこに誘導するということもできます。
この場合なら、ウイルス感染ではありません。対策はプロバイダが指定しているＤＮＳのキャッシュが正常に戻るまでIPアドレスを直打ちするしかありません。

アドレス直打ちというのがIPアドレスではなくドメイン名であるのなら、DNSキャッシュポイズニングで偽検索サイトに誘導される以外にも、
複数のpc、複数のユーザーが同じウイルスに感染している可能性を考えなくてはならなくなります。

あなたのＰＣがウイルス感染により、犯人にＦＴＰアクセスされたという疑いがあるのなら、サイトの各ファイルの日付をチェックして、あなたの更新より新しい日付のファイルを見つけて改竄が無いか調べる事をお勧めします。
通常リダイレクトは.htaccessというアクセスをコントロールするファイルで行います。しかし、その場合なら無条件に訪問者をリダイレクトしてしまいますので条件に合致しません。parlやPHP、JavaScript等ではいくらか条件付きのリダイレクトが可能です。