新生鳩丸掲示板♯

> そう考えると、「マルウェアに感染したら駄目」という当たり前の話になってきますね。

そもそも発端となった感染実験

http://www.smilebanana.com/archives/2010/01/23-2158.php

も、Windows XPのSP3をアンインストールまでして故意に脆弱な環境を作り出して、ようやく感染させたそうですしね。

http://www.smilebanana.com/archives/2010/01/14-1912.php

ALFTPもWinSCPも対象であることが判明したので、Gumblar「対策」目的で乗り換えるのはほぼ無駄ですね。まあ最初から分かっていたことではありますが。

http://www.jpcert.or.jp/at/2010/at100005.txt

※でもIE6からの乗り換えは勧めてほしいかも

>ALFTPもWinSCPも対象であることが判明したので、Gumblar「対策」目的で乗り換えるのはほぼ無駄ですね。

　ですねぇ。

　マルウェア側も日々進化しますしね。

>※でもIE6からの乗り換えは勧めてほしいかも

　IE6の話はFTPに限らず、basic認証のパスワードなんかも送られる感じですかね? だとすると「FTPって何?」みたいな人も注意が必要になってくると思うわけですが。

>　IE6の話はFTPに限らず、basic認証のパスワードなんかも送られる感じですかね? だとすると「FTPって何?」みたいな人も注意が必要になってくると思うわけですが。

フォームにオートコンプリートで入力されるパスワードも対象だと思われるので、パスワードをブラウザに記憶させているとかなりやばいです。

IE7以降は、フォームが存在するページのURLを暗号化のキーとして使うようになったので、IEが起動していない状態でパスワードを盗むことは困難になったようです。

https://bugzilla.mozilla.org/show_bug.cgi?id=355538

もちろん履歴に入ってるURLで総当たりしてみるとか、ブラウザの起動中ずっと監視し続けるとか、著名なサービスに関してはURLを推測できるとか、いくらでも方法はあるので決して安心してはいけませんが。

> 履歴に入ってるURLで総当たりしてみる

ちなみにこれはIE PassViewが採用している方法です(IE PassViewのページに書かれていますが)。

> If you clear the history file, IE PassView won't be able to recover the passwords until you visit again the Web sites that asked for the passwords.

したがってインターネットオプションで「終了時に閲覧の履歴を削除」にチェック…じゃなくて、感染しないように対策を固めましょう。

またFirefoxでマスタパスワードを指定している場合、PasswordFoxでパスワードを復元するにはマスタパスワードの指定が必要です。何度も言われてるように、侵入すれば偽装ダイアログを表示したり(本物の)ダイアログに入力されたマスタパスワードを横取りしたりするのは極めて簡単ですが。結局

> 「マルウェアに感染したら駄目」

につきます。

http://www.st.ryukoku.ac.jp/~kjm/security/memo/2010/02.html#20100211_tuiki

> この暗号化には、Windows API を使用しており、アカウント使用者本人以外は簡単に復号できない設計になっています

Gumblarはまさにアカウント使用者本人として動作するわけで、だからこそ攻撃を防ぐのが困難なのですが…。

根本的に何が問題なのか理解していないのでしょうか。