セキュリティ関連

試験運用ですが、FFXIプレイヤーに関係ありそうなセキュリティ関連情報を表示するRSSを作ってみました。原則として情報源もしくはダウンロード先へのポインターのみで、中の人による記事はありません（このブログの「セキュリティ関連」カテゴリーの記事にリンクしていることもあります）。

作ったというと大げさですが、忍者ブログに貼り付けたメモをRSSで吐き出しただけです。しばらくやってみて（中の人にかかる更新負荷テスト込み）、安定運用できそうならこのブログのサイドバーに表示する予定です。

[使用上の注意]

・中の人が情報を拾ったタイミングで更新されるので、日付は最新とは限りません。
・中の人が忙しい時は更新が止まります。
・内容の正確さについては保証しません。
・個人用メモの公開です。内容に関するリクエストには対応しません。
・同じ理由で質問や苦情には対応できません。ご利用は自己責任でお願いします。
・飽きた、手が回らないなどの理由である日突然削除する可能性もあります。

以上をご了承いただいた上であれば、RSSの利用はご自由にどうぞ。なお、ブログパーツからリンクしているRSS発行元のブログのURLは"http://nyankosec.blog.shinobi.jp/"になります。偽者にはくれぐれもご注意ください。

主な情報源はこのあたり：他にもあります。
▼警視庁セキュリティ情報サイト＠police
▼ITpro セキュリティ
▼ITmedia エンタープライズ セキュリティ
▼2ch:ネトゲ実況　　関連スレ
▼リネージュ資料室

続きは表示サンプル。＠nifty提供のアプラグβを利用して表示しています。
　

続きを読む＞＞

しばらく下火になっていたアカウントハックですが、先週末にまた大規模な被害が発生してしまいました。

6/8頃から、大手レンタルサーバー会社XREA無料サービスで表示される広告の一部にJavaScriptが仕掛けられ（※）、1/5の確率で罠入りの広告が表示されるようになっていました。ダウンロードされるファイルは、Flash Playerの脆弱性を突いて、アカウントハックをするウィルスに感染させようとします。Flash Playerのバージョンが最新でない場合には、ウィルスに感染してしまいます。

※詳細はこちらへ→XREA広告改竄（リネージュ資料室様）

ドメインがXREAでなくても、実際にはXREAのサーバーを利用しているサイトは結構多いので、自分でアクセスした覚えがなくても知らないうちに見ていることがあります。

この脆弱性は、6月3日にFFXI公式サイトで警告されていたものです。（→Flash Playerの脆弱性にご注意ください）バージョンアップのタイミングで情報収集のためにあちこちのサイトにアクセスが増えるのを見越して仕掛けられたんでしょうか……。


■FlashPlayerなんてインストールした覚えないんだけど……
→最近のパソコンには最初からインストールされてます。具体的に言えば、ニコニコ動画が見られる人のパソコンには入ってるはずです。

■バージョン確認
6/17現在のFlashPlayerの最新バージョンは9.0.124.0です。自分のパソコンにインストールされているFlashPlayerのバージョンを確認するには、Adobe Flash Player のバージョンテスト（アドビ公式サイト）を開いてみてください。（NoScriptなどでScript実行を抑止している場合は、一時的にadobe.comを許可してください）

6/17現在、最新バージョンのFlashPlayerが正しくインストールされていれば、上のような表示になるはずです。これよりも古い数字が表示された場合は、すぐにバージョンアップを行ってください。

■バージョンアップの方法
１．一度古いバージョンのFlashPlayerを完全にアンインストールしてから最新バージョンをインストールする方法をおすすめします。プリインストールのFlashPlayer等は、コントロールパネル内の「アプリケーションの追加と削除」ではアンインストールできない場合があります。アンインストールは専用のアンインストーラーを使用してください。
→Flash Player プラグインおよび ActiveX コントロールをアンインストールする方法（Adobe公式サイト）


２．ダウンロードが完了したら、最新版のFlashPlayerをダウンロードし、インストールします。
→Flash Playerインストール手順

３．インストールが完了したら、再度バージョンテストのページにアクセスして、バージョンが最新になっていることを確認します。バージョンアップは、使用しているブラウザごとに行う必要があります。普段FireFoxやOperaなどのブラウザを使っている人も、PC内にあるIEのバージョンアップをお忘れなく。


今回はアクセス先が中国のサーバーだったので、FlashPlayerをアップデートしていなくてもPeerGurdian2をインストールしてリネージュ資料室様提供のIPフィルターを正しく運用していれば防げていたようです。また、6/17現在、XREA側で対策がされたようで、現在は罠入り広告があるサーバーには飛ばないようになっています（被害状況・対策などの公式発表はなし）。
※6/17 19:30追記：XREAのサポートより公式の告知がありました　→こちら

これはすなわち、別の広告サーバーが再度改竄されて飛び先のサーバーがPG2でブロックされない国に移動した場合、再度被害が拡大する可能性があるということです。根本的な対策はFlashPlayerのバージョンアップしかありません。今一度自分の環境を確認してみてください。
　

革屋さんとこで話題になってた「ゆずソフト」の改ざんですが、原因は「サーバーに不正アクセスされてファイルを改ざんされた」ことではなく、「プロバイダーのネットワーク経路をハイジャックされた」ことだそうです。

簡単にいえば、URLを使った問い合わせに対して物理的にサーバーを特定するための答えを返すプロバイダー内にあるコンピューターがハッキングされて、問い合わせに対して嘘の答えを返すようになっていたという話。で、嘘の答えを信じてアクセスした先には改ざんされたファイルが仕込まれていると……

詳しい説明は、「リネージュ資料室」様の「さくらインターネット経路ハイジャック」の記事とリンク先の解説が分かりやすいです。


で、ここからが非常に怖い話なんですが、今回経路をハイジャックされたプロバイダーは、このサイトでも利用している「さくらインターネット」です。

サポートからのアナウンスが出ました。
障害発生のお知らせ（さくらインターネット）

影響があったのは専用サーバーサービスの一部であり、このサーバーが利用している「レンタルサーバー」（サーバーの一部分に間借りするタイプ）は含まれていません。また、「影響があったユーザーに対する個別の連絡」も今のところ当方には届いていません。

現在のところ、通常使用しているのとは別のパソコンからブラウザ経由でWebページを開き、ソースを確認して、改ざんがないことを確認しています。

ですが、今後このサーバーが同様の被害にあわないという保証は今のところまったくありません。こちらでもできる限りの確認にはつとめますが、閲覧者の方にも今一度、セキュリティ対策の見直しをお願いします。

　

※5/30 13:30追記
5/27？〜5/28 1:42の間に再度改ざんが発生していた模様です。現在、一時的な措置として、トップページがhttp://www.vanamon.com/に移動しています。以下はモンスターデータ収集スレ5より転載。

593 ：名も無き軍師：08/05/28 04:00:46 ID:******
うちの鯖スレより。またですかね？

551 ：既にその名前は使われています ：2008/05/28(水) 01:23:44.93 ID:******
また、ヴァナモントロイの木馬仕込まれてた
どうせやるならアンチウィルスソフトに引っかからずやってほしい

554 ：既にその名前は使われています ：2008/05/28(水) 01:54:07.79 ID:******
左上の方にFireFoxのNoScriptで抑止されてるスクリプトがあるけどそれかな？

596 ：ヴァナｍ ◆ZrzGMHfgII ：08/05/28 06:38:00 ID:******
>>593
どこの鯖スレかｋｗｓｋ

597 ：名も無き軍師：08/05/28 10:50:08 ID:******
>>596 ソース元も貼るべきでした、すいません。
ネ実にあるValeforサーバーのスレです。自分は真贋わかりません。
ttp://live27.2ch.net/test/read.cgi/ogame/1211452941/551-

598 ：ヴァナｍ ◆ZrzGMHfgII ：08/05/29 00:59:36 ID:******
>>597
ちょっとやばいねぇ。
5/27 ???〜5/28 1:42の間に書き換えられている。
どうもすぐに戻したらしくてその時間が1:42。
書き込み時間からするとその書き込みの直後。
だけど鯖スレなんかをその犯人が監視してるワケないだろうし。
２ｃｈにヴァナモン見れないって奴にレスしたのも昨日だったんだよな。
xreaにいつ頃からなのかとか、原因とか問い合わせてるけど
前回もロクな回答得られず終わってるからなぁ。
一応またいくつか対策はしたけれど、それでも安心はできないので
移転を考慮しつつ、一時的にというか実験的に移動してみます。
ついでに明日警察にも相談してみる。

※5/1 10:30 追記が増えすぎたので内容を整理しました。

4/27 23:00〜4/29 14:00の間、ヴァナ・ディールモンスター（モンスター情報検索サイト）が改ざんされていました。以前報告された改ざんは管理人様のブログでしたが、今回は情報サイト本家です。

ヴァナモントップページの告知より抜粋。

・エリア別データ・経験値表のHTMLが第三者により改ざんされていた
・発生日時：4/27 23:00〜4/29 14:00
・仕込まれていたのはPCの環境情報を送信するウィルス（パス抜きではない）

[猫の中の人による補足]
・「エリア別詳細」のページを閲覧すると、メニューフレームの中に仕込まれたサイズ0のインラインフレームから天安門広場のある都市に所在するcnzz●comにあるスクリプトの実行を試みていました。4/29 14:00に管理人様により問題のページは削除されましたが、ブラウザにキャッシュが残っている場合、改ざんされたページを再度読み込む可能性がありますのでご注意ください。

・ネ実情報によると埋め込まれていたのは某国のWebサイトではよく使われているアクセス解析サービスのタグだという話もあります。そうだとしても不正に埋め込まれたタグによってユーザーのIPアドレスとセットで環境情報を抜き取っていることには違いなく、危険度は同等であると考えます。

・現在のところ環境情報の抜き取り以外の報告はされていませんが、セキュリティの甘いPCでは何かを仕込まれていた可能性も完全否定はできないようです。詳しくは、革屋さんによる解説をご覧ください。

[今回の特徴]（ネ実関連スレよりまとめ）

・iframe内に表示されるHTMLファイル自体がヴァナモンと同じドメインにあるため、FireFoxの「NoScript」でiframeを制限していても表示は防げない
・スクリプト本体はChina鯖にあるので、PG2で中国をはじいていれば実行されない
・スクリプトの内容は、直接パスワードを抜くものではなく、IPアドレス、使用ブラウザなどの環境変数をチェックするものらしい（→スクリプトのソースのSS（WEBばななのサーバーにありますが、閲覧は自己責任で）
・PG2がなくても、ブラウザやNoScriptの設定でスクリプトの実行を禁止していれば、勝手にスクリプトが実行されることはないはず

※PG2利用者の方へ
危険IPアドレスのリストを提供して下さっているリネージュ資料室のアドレスが3/28から変更されています。新しいURLは「http://lineage.paix.jp/」です。PG2用定義ファイルのURLもこれに伴い変更になっていますので、PG2の「リスト管理」の設定を再確認してください。
　
今回の閲覧で直接パス抜き用のマルウェアが仕込まれるわけではないようですが（断言はできない）、これからアタックを仕掛けるためにIPアドレスと環境を調査している可能性があります。対策をきちんとしているユーザーが気づかない（＝攻撃されないので気づきようがない）うちに、脆弱な環境のユーザーが集中的に狙われる可能性があります。

また、スクリプト本体が敵方にある＝いつスクリプトの内容がさしかえられても不思議ではない、ということなので、決して「今回のはパス抜かれていないから大丈夫」だとは思わないでください。

サポートセンターがゴールデンウィークで休みになる時期を狙って仕掛けたと思われますので、くれぐれも注意してください。

続きは追記（主にネ実関連スレより関連情報を抜粋）　最終更新5/1 10:30
　　

続きを読む＞＞

不正アクセス対応ポリシーが変更されました (2008/04/23)（公式サイト）

ようやく■eからアカウントハッキング被害者の救済策が正式に発表されました。被害が問題になりはじめてからの対応が遅すぎる感じはしますが、調査の上でデータのロールバックを行うことを明言したのは大きな前進だと思います。この措置で、被害者の方がデータと元気を取り戻してくれればと思います。

なお、データの復元時には、本人確認のための公的書類（住民票など）のコピーが必要になるそうです。転居や結婚などで住所氏名が変わっている人は、会員情報を最新のものにアップデートしておきましょう。

---

被害救済措置としてはこのぐらいが限度なのだろうというのは理解できるのですが、サポートセンター営業時間外のアカウント緊急停止措置の不備は非常に問題だと思います。

緊急停止措置は原則として本人の別アカのＧＭコールしか認められておらず、以前から散々指摘されていた「自分で2アカを持っていないと不正アクセスを知りながらサポートセンターが開くまで何もできない」という点についてはなんら改善されていません。

日米欧のタイムゾーンで24時間ゲームサーバーを有効利用するなら、サポートセンターも日米欧のリレーで24時間対応にしてくれればいいのに(´・ω・｀)現地で日本語しゃべれるスタッフを雇えば可能なはずですよね……。アカウント緊急停止専用番号を国内に1つ用意して、日本に着信したコールをIP電話で転送すれば通信コストもそれほどかからないと思うんですが（海外からのコールも同様に日本で受け付けられますし）。

それが無理なら希望者にアカウント緊急停止用のパスコードを発行するとか（POL会員登録情報の住所氏名あてに郵送で送る／使用時は番号通知サービスを利用できる電話からプッシュホンでコード入力）でもいいので、とにかく「被害に気づいたら即座にアカウントを停止できる」措置を早急に導入して欲しいものです。

---

一緒に発表されてましたが、こんなのもあったんですね。
プレイオンライン関連サービスへの外部からの攻撃について（公式サイト）

ユーザーのパソコンのファイルを盗まれるわけではなく、サーバーに対してIDとパスワードを総当りでログインを試行するタイプの不正アクセスもあったようです。こちらは■eに直接攻撃なので、ちゃんと対応したようですね。

パスワード変更時には、「セキュリティの低いパスワード」を使わないように気をつけましょう（といっても定期的に付け直そうと思うとネタ切れして困るんだけど……(´Д｀;)）。

参考資料：強力なパスワード（Microsoft:Windows Server TechCenter）

POLのパスワードにおきかえると
・できるだけ長いパスワードを使う（POLの場合8文字〜15文字ですが、できるだけ長く）
・アルファベット大文字・小文字とと数字を混在させる（POLのパスワードでは、記号などは使えません）
・辞書に掲載されているような単語は含まない
・自分のキャラクター名や、他キャラクター名にありがちな単語は含まない
・POL会員情報に含まれるような情報（誕生日、電話番号、住所、本名など）を含まない（一度ハッキングされたアカウントにパスワードを付け直す場合は、特に重要）
といったあたりに気をつけるといいと思います。