Semplice - ブラックウォームの警告・WinAntiSpywareとWinAntiVirusProはwinfixer.comの新商法

　ブラックウォームなるウイルスの名称をちらつかせ、また個人情報が漏れていると脅迫するサイトの存在は、4月上旬より日本国内で話題となっている。これは何らかのタイミングで妙なサイトを開いてしまった消費者に、何かのマルウェア（Malware：スパイウェアやウイルスなど）に感染していると脅迫し、WinAntiVirusPro 2006とWinAntiSpyware 2006なる製品を導入するように強要するものだ。
　注目すべき点としてこれは日本語サイトであり、またダウンロードするよう強要されるソフトウェアは英語版Windowsでは文字化けする点で、日本人をターゲッティングしているのは明らかだ。

　またネットワークキャプチャの結果、この「ブラックウォーム」に最終的に接続させるまでのやりとりの中で、インチキソフトの製造元として著名なwinfixer.comの関与を確認した。
　今回もかなりの長文となるので、急ぎならば最後のConclusionのみを読んでもらいたい。

ブラックウォームに感染していると脅迫するサイトの概要

　昨日Google検索にて2つのブログにおいて感染元の情報が掲載されているのを発見した。

　興味ある人は、
　お気に入りに追加したから↓のURLで見てね。（DLしない限り安全だと思う
　http://amaena.com/securityworm5/jp/?aid=adtiger-jp&lid=jp
　ブラックウォームウイルス（REREI have no need of your help）

◆Bunker Busters（リンク先はBREAK.COMなるサイトのhttp://www.big-boys.com/articles/bunkerbuster.html）
【関連動画：Another Bunker Buster - 地下ではなく車を
コメント：
　おい！！Bunker Busters クリックしたらブラックウォームとかいうウィルスにかかたっぞ！
　Posted by 名無しさん at 2006年04月02日 21:01
　地下施設破壊用兵器、バンカーバスター実験映像（ひろぶろ）

　今回はBREAK.COMを試してみよう。

　セットアップ直後のWindows XP HomeEditionを用意。
　http://www.big-boys.com/articles/bunkerbuster.html 閲覧後に、あちこちサイト内のボタンを押しまくる。これは複数回閲覧しバナー広告を入れ替える目的だ。数回目にして「パソコンのエラーが発生しました」なる広告が表示される。
　この「パソコンのエラーが発生しました」なるバナー画像はWinFixer2005による脅迫は自作自演（Semplice）で見かけたのと同じものですね。

　広告のリンク先は「http://ad.mediaprecision.net/click,AAAAAFpAAABQ0AAAhk4AAAABAAAAA
P8AAP8FFAEABAPUUwAAgWEAAOF8AAAAAAAAAAAAAAAAAAAAAAAAAAAAAFUmPkQ
AAAAA,http://rotator.adjuggler.com/servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C&ajlink=$,」

　問題の広告のソースは


　画像をクリック。
　「新しい脅威が検出されました：ウイルス名新しい脅威が検出されました：ウィルス名「BloodHound」感染を防ぐ為、セキュリティソリューションをダウンロードするのお勧めします。感染を防ぐ為、セキュリティソリューションをダウンロードするのお勧めします。」なる怪しいダイアログが出たのでOKを押す。
　（ちなみにBloodHoundは、Symantec社製品のヒューリスティックスキャンにて検出されるシグネチャ未対応マルウェアに対する汎用的な検出名であるが、この怪しいサイトはSymantec社とはいかなる関わりも無いだろう）

（*クリックで拡大）
　ブラックウォームのページ（http://amaena.com/securityworm5/jp/?aid=cyb_jp_ja&lid=os&ax=0）が表示された。
　URI削りをしたらば、http://amaena.com/securityworm5/でも表示された。なお「http://amaena.com/securityworm5/」を検索すれば、あちらこちらのフォーラムにて複数のURIの報告が見つかるだろう。

（*クリックで拡大）
　IPアドレス、ブラウザ、コンピュータOS、パソコン情報、パソコン地域。これらの表示はブラウザの環境変数を取得して表示し、ユーザーを驚かす目的のものなのだろう。なんて他愛の無い、低レベルの脅迫なんだろう！
　「貴方のパソコンは「ブラックウォーム」に感染される恐れがあります。ご覧のセキュリティソリューションをダウンロードするのをお勧めします。」
　「「ブラックウォーム」は危険性の高いウィルスであります、2006年2月に出現して、すでに多くのコンピュータの情報を破壊しました。このウィルスはすでに百万のパソコンを感染して、インターネット上で色んな国で広がれています。」
　「警報！セキュリティセンターは貴方のパソコンにセキュリティミッスを検出しました。そして貴方の個人情報を違うコンピュータに伝送される恐れがあります。以下のプロセス（win32res.exe）ご覧の情報を送信しました。

　一応Vigilにて確認はしたが、クッキーを除けば個人情報の流出に繋がるようなものは一切やりとりされていなかったのだが。
　またwin32res.exeって何だろう。

クリーンなパソコンでもブラックウォームの警告は表示されるのか？

　さて、毎回毎回おなじみの「限りなくクリーンなWindows XP Pro SP2 英語版」の登場だ。
　PAL Spyware Removerはスパイウェアやマルウェアに感染していなくても警告する（Semplice）にて更なる研鑽を加え、「これでウイルスが検出されるなんでありえないだろう」と自信を持って断言できる、VirtualPCのゲストドライブである。

　。。。。うーむ。http://amaena.com/securityworm5/jp/?aid=cyb_jp_ja&lid=os&ax=0はマルウェアに感染していない環境であってもまだ、「貴方のパソコンは「ブラックウォーム」に感染される恐れがあります。」と表示する。
　結局この怪しいサイトは、何にも感染していなくても「ブラックウォームに感染される恐れがあります。」などと表示する、インチキサイトなのだな。

　一応WinAntiSpyware2006とWinAntiVirusPro2006のインストーラーをダウンロードしようとしたのだが、WinAntiSpyware2006とWinAntiVirusPro2006はいずれもWinAntiVirusPro2006FreeInstall_jp.exeなのだ。手抜きか？

ブラックウォームの、ここまでのまとめ

　「BREAK.COM（http://www.big-boys.com/）」そのものが悪意があるサイトなのではない。BREAK.COMと契約している広告代理店の「http://a.tribalfusion.com/」が、「http://ad.mediaprecision.net/」へのアンカー（リンク）を含めたいかがわしい広告（パソコンのエラーが発生しました）を表示しているのだ。
　「ブラックウォームを表示するページ」はhttp://amaena.com/securityworm5/である。これは何にも感染していなかったとしても、ブラックウォームの脅迫を表示するだろう。

英語版OSでの表記は英語となる

　2006年4月18日追記
　英語版OSで言語設定を英語、LocationをUnited Stateにしたらば、広告ダイアログは英語表記。

（*クリックで拡大）

　またブラックウォーム（http://amaena.com/securityworm5/）を開くと日本語ページにリダイレクトされず、英語ダイアログが出る。

　そして表示されるページは英語ページとなる。

（*クリックで拡大）
　つまりこれらのトラップは多くの言語環境に対応し、日本語ならば日本人向けのページを表示するのだ。

WinAntiVirusPro 2006をテストする

　供試したインストーラーはこのようなものだ。これを「限りなくクリーンなWindows XP Professional SP2英語版」に導入し、挙動を観察しよう。

　ところがですね。インストール時のダイアログは、英語版Windowsでは文字化けが激しい。英語版OSでは利用できないようだ。

　仕方無いので、Windows XP Home Edition 日本語版（SP未適用）のインストール直後の状態のゲストOSを利用し供試する。なおこれはInternet Explorerを起動しホームをMSNに設定はしたが、Cookie・IEの履歴とキャッシュは削除していた。
　インストール時のダイアログがちゃんと表示されると言う事は、これは日本語版OS向けにカスタマイズされたバージョンなのだろう。このようなソフトの製造者が日本の消費者をターゲットにしている現状は、うっすらと背筋が寒い。

　なおinstlog.winantivirus.comとdownload.cdn.winsoftware.com、statsl.reliablestats.comとtrial.updates.winsoftware.comへの接続を確認した。パケットキャプチャによる監視結果では、個人情報の流出は確認できなかった。
　スキャンをしたのだが終了後に表示された「スキャンの要約」ではマルウェアは一切検出されなかった。ここで何かが検出されたならば、存在しないマルウェアを検出したとの点でWinFixer2005のようなインチキソフトとして判断を下せたのだが。

（*クリックで拡大）
　オプションより「ウイルススキャン」を開き、「インテリジェンスモード - 最近変更したファイルだけスキャンします。（推奨）」から「標準モード - 全てのファイルをスキャンします（低速）」を選択。「クイックスキャン」ではなく「普通」なる方式でスキャンしたが、存在しないマルウェアの検出・検出対象ファイルの自作自演的作成は行わなかった。
　（注：WinFixerは検出対象ファイルを自作自演で作成し、これを検出して製品を購入するように促す）

ブラックウォームと関連する広告代理店と広告主を炙りだす

　スパイウェア（Spyware）・アドウェア（Adware）・ブラウザハイジャッカー（Browser Hijacker）と広告代理店は、深い繋がりを持つ例が多数報告されている。
　Benjamin Edelman氏はThe Spyware - Click-Fraud Connection -- and Yahoo's Role Revisitedにてスパイウェアメーカー（一例として180solutions）と広告代理店とYahoo Overtuneの関係をレポートしている。これを読み大変刺激を受けたので、同様のアプローチを試みてみたい。

ブラックウォームの真の運営者は誰だ？

　ネットワークパケチャとブラウザのステータスコードについて簡単に説明する。Internet Explorerなどのブラウザでどこかのサイトを閲覧すると、クライアントからWEBサーバーへ以下のようなリクエストが送信される。

　WEBサーバーはレスポンスを返す。この際にステータスコードを送信する。
　通常は200が返ってくるのだが、たまに301や302が返り、他のサイトにリダイレクトされる。
　301はMoved Permanently（別のURIへ移転した）、302はFound（一時的に別のURIへ接続するように）の意味で、それぞれサイトの移転時などに設定される。

1）まずはブラウザのアドレス欄に「http://ad.mediaprecision.net/click,
AAAAAFpAAABQ0AAAhk4AAAABAAAAAP8AAP8FFAEABAPUUw
AAgWEAAOF8AAAAAAAAAAAAAAAAAAAAAAAAAAAAAFUmPkQAAAAA
,http://rotator.adjuggler.com/servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C
&ajlink=$」と入力しEnterキーを押す。このURIはhttp://a.tribalfusion.com/により表示されたバナー広告だ。

2）＜レスポンス＞
HTTP/1.1 302 Found
Location: http://ad.yieldmanager.com/click?
AAAAAFpAAABQ0AAAhk4AAAABAAAAAP8AAP8FFAEABAPUUw
AAgWEAAOF8AAAAAAAAAAAAAAAAAAAAAAAAAAAAAFUmPkQAAAAA
,http://rotator.adjuggler.com/servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C
&ajlink=$,

3）＜リクエスト＞
GET /click?
AAAAAFpAAABQ0AAAhk4AAAABAAAAAP8AAP8FFAEABAPUUw
AAgWEAAOF8AAAAAAAAAAAAAAAAAAAAAAAAAAAAAFUmPkQAAAAA
,http://rotator.adjuggler.com/servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C
&ajlink=$, HTTP/1.1

Host: ad.yieldmanager.com
＜レスポンス＞
HTTP/1.1 302 Found
Location: http://rotator.adjuggler.com/servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C
&ajlink=http://w1.winfixer.com/smartserve/click?placement=bn-wfx-01&aid=cyb&lid=os

4）＜リクエスト＞
GET /servlet/ajrotator/160575/999/ch?ajkey=
V1137737B04DC682346DC682346L157584L157608L160574L155779QQP0G000C
&ajlink=http://w1.winfixer.com/smartserve/click?placement=bn-wfx-01&aid=cyb&lid=os HTTP/1.1

Host: rotator.adjuggler.com
＜レスポンス＞
HTTP/1.1 302 Moved Temporarily
Location: http://w1.winfixer.com/smartserve/click?placement=bn-wfx-01&aid=cyb&lid=os

5）＜リクエスト＞
GET /smartserve/click?placement=bn-wfx-01&aid=cyb&lid=os HTTP/1.1
Host: w1.winfixer.com
＜レスポンス＞
HTTP/1.1 302 Found
Location: http://www.winfixer.com/pages/scanner/index.php?aid=cyb_jp_ja&lid=os&ax=0

6）＜リクエスト＞
GET /pages/scanner/index.php?aid=cyb_jp_ja&lid=os&ax=0 HTTP/1.1
Host: www.winfixer.com
＜レスポンス＞
HTTP/1.1 302 Found
Location: http://www.amaena.com/securityworm5/?aid=cyb_jp_ja&lid=os&ax=0

7）＜リクエスト＞
GET /securityworm5/?aid=cyb_jp_ja&lid=os&ax=0 HTTP/1.1
Host: www.amaena.com
＜レスポンス＞
HTTP/1.1 302 Found
Location: http://amaena.com/securityworm5/jp/?aid=cyb_jp_ja&lid=os&h=&b=0

8）＜リクエスト＞
GET /securityworm5/jp/?aid=cyb_jp_ja&lid=os&h=&b=0 HTTP/1.1
Host: amaena.com
＜レスポンス＞
HTTP/1.1 200 OK

「ブラックウォーム」騙しサイトとWinAntiSpyware・WinAntiVirusProの黒幕に迫る

　BREAK.COM（http://www.big-boys.com/）で表示された広告は、http://a.tribalfusion.com/によるものであり、広告のリンク先はhttp://ad.mediaprecision.net/（略）http://rotator.adjuggler.com/（略）であった。

　1）http://ad.mediaprecision.net/（略）http://rotator.adjuggler.com/（略）を閲覧
　2）http://ad.yieldmanager.com/（略）http://rotator.adjuggler.com/（略）へ転送
　3）http://rotator.adjuggler.com/（略）http://w1.winfixer.com/（略）へ転送
　4）http://w1.winfixer.com/smartserve/click?placement=bn-wfx-01&aid=cyb&lid=osへ転送
　5）http://www.winfixer.com/pages/scanner/index.php?aid=cyb_jp_ja&lid=os&ax=0へ転送
　6）http://www.amaena.com/securityworm5/?aid=cyb_jp_ja&lid=os&ax=0へ転送
　7）http://amaena.com/securityworm5/jp/?aid=cyb_jp_ja&lid=os&h=&b=0へ転送
　8）「ブラックウォーム」騙しサイトが開く

　ネットワークキャプチャの結果よりこの「ブラックウォーム（http://amaena.com/）」の騙しサイトは、WinFixerの製造元のwinfixer.comが運用している深く関与していると明らかになった。
　（winfixer.comは広告代理店ではなく、インチキソフトメーカーである）

whoisの結果

今回ブラックウォームの警告を表示したamaena.comは
Registrant:
Amaena
P.O. box1048, Chernigov, NA 14032, UA

amaena.comが導入させようとするソフトのwinantivirus.comは
Registrant:
WinAntiVirus
P.O. Box 3, Kiev, NA 04114, UA

Bogus ware（インチキソフト）として著名なwinfixer.comは
Registrant:
WinFixer
P.O. Box 3, Kiev, NA 04114, UA

winantivirus.comとwinfixer.comは、ウクライナのキエフ。私書箱の番号が同じですね。
amaena.comはウクライナのチェリンゴフの私書箱。

ブラックウォーム経由でWinAntiVirusProを導入した場合の対処法

WinAntiVirus Pro 2006のアンインストール

　アンインストーラーの起動方法はコントロールパネル経由とスタートメニュー経由の2つがあるのだが。2006年05月12日の匿名氏による投稿により気付いた問題として、「プログラムの追加と削除」よりアンインストールを行っても失敗するため、スタートメニューより実行する必要がある。

　スタートメニューより「WinAntiVirus Pro 2006のアンインストール」を選択すれば怪しいページが開き、これのアンケートにどうでもいいチェックを入れSEND FEEDBACKを押せば、アンインストーラーが起動するだろう。
　LANケーブルを引っこ抜いてもアンインストール操作は成功するだろう。

　アンインストーラー経由により削除するのは、簡便な手段としては有用であるものの、慎重な姿勢で挑みたいとの理由にて自分としては安易に推奨するつもりは無い。
　いずれにしても自己責任で行って下さい。

　注1）全く身に覚えが無いのにいつの間にかWinAntiVirus ProやErrorSafeなどがインストールされていたならば、事項の「一般的対処法方法」にてシステム全体をチェックした方が良いだろう。

マルウェア感染時における一般的対処方法

　多くのセキュリティ対策ソフトウェアにて、このWinAntiVirus Pro 2006は検出対象とされている。
　「アンインストーラーを利用したWinAntiVirus Pro 2006の削除は信頼できない」と考える方は、このような手順で対処して下さいな。

　1）Ad-awareとSpyBot S&Dをダウンロードし、アップデート。使い方は「http://spy.tte-navi.net/」を参照
　2）現在利用しているアンチウイルスソフトをアップデートし、スキャン対象ファイルを「全てのファイル」とし、ヒューリスティックスキャン（NortonではBloodhoundなど名称が製品ごとに違いますが）を最高レベルに。
　3）セーフモード で ウイルススキャン（Palm84）（http://www10.plala.or.jp/palm84/safemode/）に掲載されている、セーフモードでの起動方法をメモ
　4）Ethernetケーブル（LANケーブル）を抜く
　5）OSをセーフモードで起動
　6）アンチウイルスソフトでスキャン
　7）Ad-awareでPerform full system scanにてスキャン、SpyBot S&Dでスキャン
　8）コントロールパネルよりインターネットオプションを開き、全般タブより「標準設定」。プログラムタブより「Web設定のリセット」。またプログラムタブよりアドオンの管理を開き、覚えが無いアドオンを全て無効に。
　9）OSを通常起動

　コントロールパネル中にWinAntiVirusProのアイコンだけが残る場合は（プログラムの追加と削除中のリストの話ではない）、C:\WINDOWS\System32\av.cplを削除すれば表示されなくなるだろう。

amaena.comによる「ブラックウォーム」またはその他の手口で導入するよう何度もしつこく表示される

　あるサイトを君が手動で開いた際にブラックウォームの騙しサイトやバナーが表示され、それ以外では一切表示されなかった場合は、それほどの心配は無いだろう。無視して下さいな。

　注意を払わなければならない点として、どこのサイトを表示しても強制的にブラックウォームへリダイレクトされる・何度もしつこく表示される・ブラウザ（Internet Explorer）を起動するたびに表示される、などの場合だ。
　更には強制表示されるサイトはブラックウォーム関連に限らず、怪しい英語の検索サイトやリンク集のような事例も考えうるだろう。
　このような場合は悪質なアドウェアやブラウザハイジャッカーに感染している可能性が示唆されるだろう。

　また何もしておらずブラウザを起動していなくてもいきなり「何々をインストールしろ」またはその他不審なポップアップ表示がパソコンのデスクトップ上に表示される場合も、同様である。

　「マルウェア感染時における一般的対処方法」を実行して下さい。
　このような事例では単純にアンインストーラーよりWinAntiVirus Proをアンインストールしたとしても、完全な修復は期待できないからだ。

　実際の話として、自分の周囲ではブラックウォームの騙しサイトへ偶然辿りつき手動でWinAntiVirus Proを導入した方よりもむしろ、他のマルウェアに感染した結果として騙しサイトへ誘導された・または勝手に無断でインストールされた事例が多いのだ。

代金をクレジットカードで支払ってしまった

　Sempliceへの幾つかのコメントは、クレジットカードにて購入したエンドユーザーがその後全く身に覚えの無い不正な請求の被害を受けたとレポートしている。
　VISAや何かへすぐに連絡し、クレジットカードの番号を変更してもらうよう手続きをするべきである。

　なお君が支払ってしまったWinAntiVirus Pro 2006の代金そのものは、高い勉強代としてあきらめるしかないようです。

Conclusion

　・ブラックウォームのリスクをちらつかせ、またブラウザより取得した環境変数をWin32res.exeによる個人情報漏れであると虚偽のレポートを表示する、インチキなセキュリティ対策サイトがあった。
　・このインチキサイトは、何にも感染していないクリーンなパソコンであっても何かに感染していると騙した。
　・騙しサイトが導入するよう強要したWinAntiVirusPro 2006は、存在しない脅威を検出しなかった点でインチキソフト（Bogus ware、Rogue ware）とは言い切れなかった。
　・「ブラックウォーム」に脅されWinAntiSpyware・WinAntiVirusProを購入しなければならない理由は皆無だ！
　・パケットキャプチャの結果、複数の広告代理店の関与が明らかになった。また騙しサイトのamaena.comは、インチキソフトとして著名なWinFixer2005の製造元であるwinfixer.comの関与が明らかになった。
　・Whoisの結果、WinAntiVirusProのwinantivirus.comは、著名なBogus ware（インチキソフト）WinFixer 2005のwinfixer.comと私書箱が同一であった。
　・今回はURIを手動入力し表示させたのだが、もしもブラウザを起動するたびにこのページが表示されるような場合は、何らかのマルウェアによりインチキサイトを強制的に表示させられているのだろう。そのような場合には何かのマルウェアの存在を疑い、実際に店頭で販売されているようなアンチウイルスソフトなどでスキャンしてもらいたい。

関連記事

　WinFixer2005による脅迫は自作自演
　Bogus wareとRogue ware、インチキソフト
　ランサムウェア（Ransomware）とFUD
　FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング

Appendix

　海外の相談系フォーラムに、このブラックウォームのポップアップが出るとの相談がPostされていた。

Lately I have been getting different annoying popups from various websites. The main one is a window opening up stating an infection by the blackworm virus and when I close it it opens up another popup with the WinAntiVirusPro 2006 website advertsing. I have also been getting popups from adultfriendfinder and various other non-related/P2P websites as well.

　Supposed Blackworm infection - WinAntiVirusPro 2006 popups（TechSpot Troubleshooting）
（http://www.techspot.com/vb/all/windows/t-46305-Supposed-Blackworm-infection--WinAntiVirusPro-2006-popups.html）より引用

　さて、リンク先のフォーラムの一番下を見てもらいたい。しっかりと「警告 - スパイウェア」「パソコンのエラーが発生しました」とのバナー広告が表示されているではないか。
　。。。。。。何かの悪い冗談でしょうか？

更新履歴

　

2006年10月18日

　av.cplについて、またWinAntiVirus Proの感染事例にては他のマルウェアとの複合感染が多い点を追記。