ガンブラーウィルスに感染！被害状況や対応方法を解説

このサイトについて

このサイトは、パソコンがウィルスに感染し、サイトのデータが改ざんされた、 「私の実体験」 を伝えるサイトです。

私はウィルスに感染し、サーバのログイン用パスワードを盗まれ、運営していたサイトのデータを改ざんされて、大きな被害を出しました。 その全容を時系列でお伝えしていきます。 私と同じように、ウィルスに感染した方、ウィルスの対処方法を確認したい方などの参考になればと思います。

はじめに

私は、小さなＩＴ企業を経営しています。 事業内容は、ホームページ作成やホームページの運営です。 そして、２０１３年６月２日は、会社の７年目の創立記念日であり、私の母親の誕生日でした。

そんなめでたい６月２日、、、事件が起こりました。 「ウィルス感染 」 です。 私のパソコンがウィルスに感染したことによって、私のパソコンに 保存していたＦＦＦＴＰソフトのパスワードが盗まれ、ホームページのデータを、改ざんされるという事件 が起こりました。

尋常ではない被害となり、手が震えて、恐怖で本当に死ぬかと思いました。 ここでは、私がウィルスに感染した経緯や、実際に、どのように対処したのかなどを、時系列でお伝えしていきます。

２０１３年６月２日、６時２６分　ウィルス感染

２０１３年６月２日、６時２６分ごろ、私は、サイトの過去の更新履歴を見ることができる
海外のサイト を見ていました。 私はこの日、初めてこのサイトを使いました。

▼サイトの過去の更新履歴を見ることができる海外のサイトの画像 （画像が開きます）


そして、自分のサイトの過去の更新履歴を見るために、ＵＲＬを入力して、「サイトの過去の更新履歴」を見ていました。 このときは、私が使っていたセキュリティソフトは何も反応しませんでした。

しかし、実際には、このタイミングで、私のパソコンは、ウィルスに感染していた のです。

７時３６分　ウィルスを検知

私が運営しているホームページにアクセスしたら、突然、 下記のメッセージが大量に表示 されました。

焦った私は、パソコンを再起動して、再度、私のホームページにアクセスをする。

７時４０分　サイトが改ざんされていることを確認

しかし、何度、私のホームページにアクセスをしても、 「トロイの木馬　接続が切断されました - 隔離しました　アプリケーションによるウェブへのアクセスにおいて脅威が検出されました 」 という上記のメッセージが表示される。 そこで、ホームページのソースを開くと、見たこともない、下記のソース が入っていた。

▼ホームページのソースに見たこともない文字列が入っていた画像 （画像が開きます）


そして、ＦＦＦＴＰソフトでサーバに接続をして、ファイルの更新日付を確認すると、最終更新日付が 「2013/06/02 6:26 ～7:40」 になっている 大量のファイル を確認。 この時点で、ただ事ではないことに気づき、手が震えて、パニックになった。

状況の確認

ウィルスに感染した経験もなければ、何が起こっているのかも分からない。 しかし、サイトに見たこともない不気味なソース が書き込まれている。 サイトにアクセスをすれば、 「トロイの木馬　接続が切断されました - 隔離しました　アプリケーションによるウェブへのアクセスにおいて脅威が検出されました 」 というメッセージが表示される。 何が起きているかは分からなかったが、ただ事ではないこと だけは、分かった。

このときは、何でサイトが改ざんされているかも分からないし、いくつのファイルが改ざんされているのかも分からない。 影響範囲がまったく分からない、まさに地獄のような時間だった。 何から手を付けてよいのか分からず、頭が真っ白で、まったく働かない。まさにパニック状態だった。

８時００分　同じような事例がないかをＷＥＢで調査

とにかく、現状を把握しなければ進まない。ＷＥＢで、同じような事例がないか、検索した。
いろいろ調べた結果、サイトが改ざんされるという現象は、「ガンブラーウィルスによる影響」 という記述があった。 たしかに、ガンブラーウィルスに感染すると、サイトのデータが改ざんされるということは、聞いたことがある。

確証はないが、このときは、「ガンブラーウィルスに感染して、サイトのデータが改ざんされた」 と、一旦、自分の中で決めた。 そして、 「ガンブラーウィルスに感染した場合は、ＦＴＰのパスワードを変更した方が良い」 との記述があった。

８時５０分　ＦＴＰのパスワードを変更

全サーバのログイン用パスワード （ＦＦＦＴＰソフトのパスワード） を変更した。

９時００分　index.htmlファイルを修正

お客様がホームページにアクセスできないように、index.htmlファイルに、次のように記述した。

実は、ホームページのファイル （ＨＴＭＬファイル） は、Movable type を使っていたため、 ７時３６分にサイトの改ざんを確認したときに、私はパニックになりながら、Movable type でＨＴＭＬファイルを再作成していたのだ。

しかし、やはりどんな影響が出てしまうか分からない。そこで、index.htmlファイルに上記の記述をして、訪問者に、 「現在サービスを停止しています」 ということを伝えるようにした。 もちろん、実際には、この修正だけでは不十分なのだが・・。

９時５５分　サラリーマン時代の同期と連絡が取れる

私１人では、まったく手におえなかったので、サラリーマン時代の同期に電話で助けを求めていた。 そのときはつながらなかったが、、、その彼から、電話がかかってきた！

彼に状況を話して、手伝ってもらう。 なお、このサラリーマン時代の同期を、これから、「救世主Ｔ君」 と呼ばせてもらう。 本当に、彼がいなかったら、どうなっていたのだろう・・。

１０時００分　改ざんされたファイルを確認

「救世主Ｔ君」 は、現役のシステムエンジニア だ。サーバ調査での長けている。
その 「救世主Ｔ君」 に、サーバにログインしてもらい、影響範囲の調査をしてもらう。

「Tera Term」 のソフトを使って、サーバにログインして、上記のコマンドをサーバ上で実行すると、６００分 （１０時間） 以内に変更されたファイルの一覧が分かる。 これによって、莫大な数のファイルが、改ざんされていることが分かった。

一方、私は、使用していたパソコンで、 ウィルススキャン をした。 しかし、私がこのときに使っていたセキュリティソフトは、ウィルスを検知しない。

１２時３０分　すべてのアクセスを遮断（サービス完全停止）

index.html ファイルだけを修正していても、すべてのアクセスを防げるわけではなかった。
そこで、.htaccess に下記の記述をして、ホームページへのすべてのアクセスを遮断した。

これで、ホームページへのアクセスは、完全に遮断できた。　つまり、売り上げも激減だ。
でも、そんなことを言っている場合ではない。本当に緊急事態だった。


「救世主Ｔ君」 のおかげで、影響範囲は見えてきた。 しかし、どうしても分からなかったのは、「なぜ、運営しているすべてのサーバで、ファイルが改ざんされたのか」 ということ。 サーバは１０個使用していたが、レンタルサーバ業者も別で、パスワードも別だった。

つまり、 「私のパソコンのＦＦＦＴＰソフトのパスワードが盗まれた」 としか、考えられない。 にも関わらず、私が使っていたセキュリティソフトで、いくらウィルススキャンをかけても、ウィルスを検知しない。

１２時４０分　セキュリティソフトの会社に状況を伝える

私が使っていたセキュリティソフトの会社に電話をして、状況を説明した。
なお、これから、私が使っていたセキュリティソフトは、 「Ａセキュリティソフト」 と呼ばせていただく。 このサイトは、ウィルス感染の影響は対処方法を伝えるサイトであり、セキュリティソフトの会社を批判するサイトではないからだ。 そのため、私が使っていたセキュリティソフトの名前は、当サイトでは伏せさせていただく。

私は、使用していた 「Ａセキュリティソフト」 の会社に電話をして、サイトのデータが改ざんされていること、ＦＴＰのパスワードを記録させているのは私のパソコンのみであること、ウィルススキャンをかけても、ウィルスを検知しないこと などを説明した。

しかし、いくら状況を説明しても、 「パソコンにウィルスは感染していなくても、サーバのファイルが改ざんされることはある 」 との回答。 一向に、原因が特定できない。

そこで、 「もっと細かく調査をしてほしい」 と伝えて、 「Ａセキュリティソフト」 から言われた、 「検査ログ」 や 「ウィルスチェックログ」 を送った。 そして、 「Ａセキュリティソフト」 からの最終調査結果は、 「あなたのパソコンにはウィルスはいません」 だった。

「私のパソコンにはウィルスはいない」 ということが分かり、安心はしたが、、、 なぜＦＴＰパスワードが盗まれたのか、まったく分からない。原因が分からない。

あとで説明するが、実は、６時２６分に、サイトの更新履歴を見ることができる海外のサイトを使っていたときに、私のパソコンはウィルスに感染していた のだ。 つまり、 「Ａセキュリティソフト」 の会社の調査結果が間違っていた。これによって、原因の究明に時間がかかり、作業量が増幅し、本当に苦しめられた・・。

１３時５０分　復旧手順書の作成

ここで、 「救世主Ｔ君」 が、素晴らしいことを発見した。 「ウィルスバスター」 のセキュリティソフトがインストールされたパソコンに、 改ざんされたサイトのファイルを、サーバからダウンロードしたら、なんと、 ウィルスの記述を自動的に取り除いてくれること が判明！！ 「ウィルスバスター」 のソフト、すげー。

そこで、下記の 「復旧手順書」 を作成した。

１５時３０分　復旧作業、開始！！

上記の手順を、すべてのサーバで実施していくことにした。 一番良いのは、バックアップしていたファイルを、上書きでサーバにアップロードすることだ。 しかし、ここが私の悪かったところだが、、、全部のサーバで、すべてのファイルをバックアップしていたわけではなかった。

そこで、バックアップを取っていなかったファイルは、 「ウィルスバスター」 に通して、ウィルスが入れたソースを自動駆除して、その後、アップロードする方法を取ったのだ。 そして、アップロード後に、サーバ上でウィルスのソースを検索して、もしソースが残っていた場合は、手でファイルを開いて、ソースを取り除いていった。

なお、ウィルスが入れたソースの検索は、下記のコマンドをサーバで実行して、行った。

上記のコマンドをサーバ上で実行して、ウィルスが入れた記述がヒットしたら、そのファイルを手で開いて、ソースを取り除いていった。

なぜ、このような確認作業をするかというと、 「ウィルスバスター」 を通しても、ウィルスが入れたソースを自動駆除してくれなかったファイルもあったからだ。 そのため、もし駆除できていないファイルは、自分で手で修正する必要があった。

なお、補足として、今回私が感染したウィルスが入れた、悪意のあるソースが入っていたファイルは、「.html」、「.js」、「.tpl」、「.htaccess」 の４種類のファイルだった。

それにしても、サーバは全部で１０台、ファイルは莫大な数、動画のファイルもたくさんあるため、ダウンロードやアップロードに、何時間もかかる。 結局、この日は一睡もしなかった。

２０１３年６月３日　復旧作業を継続！

前日の夜、少しは寝ようと思ったが、、、不安と恐怖から、結局、一睡もできなかった。 復旧作業は行っているが、このときは、 「なぜウィルスに感染していないのに、ＦＴＰのパスワードが盗まれたのか」 という謎が解けていないからだ。

「復旧作業を行っているときに、またサイトを改ざんされたらどうしよう・・」

こんな恐怖から、まったく眠ることができなかった。 本当に、生きた心地がしなかった。結局、夜中２時ごろ、寝るのは諦めて、朝まで継続して復旧作業を実施した。


そして、６月３日も、１日かけて復旧作業を実施し、ある程度、復旧作業はできた。 結局、寝ることができたのは、６月３日の夜２３時だった。 ６月２日の朝５時から起きていて、寝たのは６月３日の２３時だったため、ぶっ続けで４２時間、作業をしていた。 不安と恐怖、疲れが同居した、まさに 地獄のような４２時間 だった。

２０１３年６月４日　ほぼ、復旧作業が完了

ほぼすべてのサーバで、復旧作業が完了した。 .htaccess でかけていたアクセス制限を解除して、サイトにアクセスをして、最終的な動作確認を実施していく。

念のため、すべてのサーバで、すべてのファイルをバックアップした。 さらに念のため、すべてのサーバのＦＴＰサーバのパスワードも、再度変更した。

２０１３年６月５日　ついに原因が判明！！

復旧作業は、ほぼ終わった。しかし、いまだに原因が分からない。 「Ａセキュリティソフト」 からの最終結果は、 「あなたのパソコンにはウィルスはいません」 だったからだ。

そこで、ためしに、私のパソコンに別のセキュリティソフト（カスペルスキー）を入れて、パソコンをウィルススキャンにかけてみることにした。 カスペルスキーのサイトで、無料でウィルススキャンをかけてくれるソフトを見つけたので、使ってみた。


そして、ここで驚愕のメッセージが表示された。 「あなたのＰＣが危険です。脅威が発見されました！」 と、ウィルスを発見したことを伝えるメッセージが表示されたのだ！！

▼カスペルスキーがウィルスを発見した画像 （画像が開きます）



上記のように、 「悪意のあるソフトウェア」 が、４２と表示されている。
これは、「ウィルスがいるファイルが４２個ある」 という意味だった。

すぐに、この結果を、 「Ａセキュリティソフト」 に送った。 「カスペルスキーのセキュリティソフトでウィルススキャンをかけたら、ウィルスを検知しました」 と。

少し待ってから、今度は 「Ａセキュリティソフト」 の別の部署から、連絡があった。
「お客様のパソコンは、ウィルスに感染している可能性があります」 との回答。

「今までの調査結果はなんだったんだ！！！」　と、私は、激怒した。


しかし、これでようやく、原因が分かった。
つまり、

「私のパソコンがウィルスに感染して、ＦＦＦＴＰソフトに記録していた
パスワードが盗まれ、サーバにログインされて、ファイルが改ざんされた」

という流れだったことが、ここでようやく分かったのだ。


そして、サーバへのログイン状況を見ると、私 （119.172.241.198） 以外のＩＰアドレスから、サーバに複数回、ログインされていて、鳥肌が立った。

▼サーバへのログイン状況の画像 （画像が開きます）


上記の画像で、黄色くなっている、 「119.172.241.198」 のＩＰアドレスが私だ。
しかし、私以外からのＩＰアドレスが、断続的にログインしていることが確認できる。

そして、「2013/06/02 6:26」 という時刻に、 「82.98.160.162」 というＩＰアドレスがある。 これが、今回、ウィルスを感染させた犯人 だ。

全部のサーバで、この 「2013/06/02 6:26」 という時刻に、ログインがされている。
つまり、「2013/06/02 6:26」 に、全部のサーバでログインされて、ウィルスをまき散らされたのだ。


まさに、自分の家に、知らない人間が出入りしているのを見たような感覚 だった。
でも、ようやくこれで、サイトが改ざんされた理由が分かった。
パソコンがウィルスに感染し、ＦＴＰのパスワードが盗まれ、サイトが改ざんされたのだ。


ちなみに、 「カスペルスキー」 のウィルススキャンで発見された、ウィルスに感染している ４２個のファイルのほとんどは、サーバからダウンロードして、ごみ箱に入れてあったファイルだった。

しかし、下記２つのファイルは、海外のサイトを見たときに感染した 「ウィルス本体」 だった。

上記の、「a[1].htm」 と 「1bdacb07-44db9f40」 の、この２つのファイルが、「ウィルス本体」 だ。 このファイルが私のパソコンに入り込み、ＦＴＰのパスワードを盗み、サイトのデータを改ざんさせたのだ。

２０１３年６月６日　パソコンのリカバリーを実施！！

私のパソコンにウィルスがいると分かった以上、このままパソコンを使うことはできない。
パソコンのリカバリー を実施した。すべてのデータを初期化した。

これによって、ようやく、ウィルスを完全に除去することができた。 良かった。

２０１３年６月７日　ホームページが、また改ざんされた！

６月７日の１０時３４分、１０台のサーバのうち、１台のサーバのデータが、また改ざんされた。

▼改ざんされたファイルの画像 （画像が開きます）


ファイルの更新日付を見ると、 「2013/06/07 10:34-10:35」 となっている。
ファイルのソースを見ると、また悪意のあるソースコードが埋め込まれていた。

原因は、このサーバだけ、ＦＴＰのパスワードの変更ができていなかったから だ。 このサーバは、私のお客様が管理しているサーバであったため、ＦＴＰのパスワード変更に時間がかかっていた。
すぐにウィルスが入れたソースコードを取り除いて、お客様に、ＦＴＰのパスワードを変更してもらうようにお願いした。

なお、他のサーバのファイルは、改ざんされていない。 ここで、「ＦＴＰのパスワードを変更していないと、再度改ざんされる」 ということを認識した。

すべてのサーバのＦＴＰパスワードを変更して、ウィルスも除去できて、これで、ようやく、
今回のウィルス感染は、終息を迎えた。

【編集後記】 今回の問題点

１． ＦＦＦＴＰソフトにパスワードを記録させていたこと

私は、ＦＦＦＴＰソフトに、サーバにログインするためのパスワードを記録させていた。
これが、そもそも問題だ。ＦＦＦＴＰソフトは、パスワードを暗号化しないで記録しているらしい。 つまり、ＦＦＦＴＰソフトに、パスワードを記録させておく行為は、非常に危険 だったのだ。

また、ＦＦＦＴＰソフトは、「マスターパスワード」 の設定もできる。
ＦＦＦＴＰソフトを起動させるために必要な、「マスターパスワード」 を設定しておけば、
ウィルスに感染しても、パスワードは盗まれなかったかもしれない。 認識が甘かった。

２． すべてのファイルをバックアップしていなかったこと

私は、すべてのサーバで、すべてのファイルをバックアップしていたわけではなかった。
もし、すべてのファイルをバックアップしていたら、バックアップファイルをサーバに
アップロードして、それで作業は終わっていたのだ。

すべてのファイルをバックアップしていなかったから、手でウィルスが入れたソースを
取り除くなど、手間のかかる作業が発生した。バックアップの重要性を本当に再認識した。

３． サーバ上に、いろいろなファイルを置きすぎていたこと

私が復旧に時間がかかったのは、サーバ上に、ファイルを置きすぎていたため、
アップロードやダウンロードに時間がかかったという理由もある。

動画ファイルや画像ファイルなど、容量の大きなファイルをサーバ上に置いていたのだ。
これによって、莫大な数のファイルが改ざんされると共に、アップロードに時間がかかり、
復旧まで時間がかかった。 サーバ上でファイルを管理しすぎるのも問題 だった。

【編集後記】 分かったこと

１． 海外のサイトは、やはり気をつけた方が良い

今回私は、サイトの更新履歴を見ることができる海外のサイトを使って、ウィルスに感染した可能性が極めて高い。 やはり、海外のサイトは危ない。 安易に使うものではない。（もちろん、安全なサイトもあるが）

２． セキュリティソフトを入れていても、ウィルスに感染することはある

今回、私はセキュリティソフトをパソコンにインストールして、使っていた。
しかし、セキュリティソフトを使っていても、パソコンはウィルスに感染した。
セキュリティソフトを使っていても、すべてのウィルスを検知できるとは限らないのだ。

今回、 「Ａセキュリティソフト」 には、誤った調査結果を伝えられて、本当に苦しめられた。 しかし、 「セキュリティソフトを入れていれば、ウィルスに感染しない」 と決めつけて 準備をしていなかった私にも問題がある。

「セキュリティソフトを入れていても、ウィルスに感染する」 ということを認識した上で、
ＦＦＦＴＰソフトにパスワードを記録しないことや、定期的にバックアップを取っておくことなど、準備をしておく必要がある。

３． Windows update などをしておくのは最低限、必要。 だが、、、

セキュリティソフトを使うことはもちろんのこと、Windows update や Java、Adobe など、使用しているソフトウェアを最新の状態にバージョンアップしておくのは、最低限、やっておかなければならない。 しかし、それでもウィルスに感染することはある。実際に、私はソフトのバージョンアップをしていて、最新の状態だったのだ。それでも、私はウィルスに感染した。

いくらセキュリティを頑張っても、１００％防ぐのは、不可能かもしれない。
だからこそ、ファイルのバックアップが必要だ。

４． バックアップが、最重要！！

もはや、これに尽きる。バックアップが、最重要だ。
ウィルスに感染しても、すぐにサービスを元の状態に復旧できることが必要だ。

バックアップを定期的に、しっかりと取っておけば、万が一、ウィルスに感染して、サーバ上のファイルが改ざんされても、バックアップファイルをサーバにアップロードして、ファイルを上書きすることができる。　これが一番良い対処方法 だと思う。

【編集後記】 運が良かったこと

今回のウィルス感染で、私の運が良かったことは、２０１３年６月２日が日曜日で、サラリーマン時代の同期 （救世主Ｔ君） が休みだったことだ。 彼が、サーバ上にログインして、ウィルスに感染したファイルを探してくれて、影響範囲を明確にしてくれた。 もし、彼がいなかったら、復旧はできなかったかもしれない。 この場を借りて、改めて、お礼をさせていただきたい。本当にありがとう。

【編集後記】 一番オススメできるセキュリティソフト

セキュリティソフトを使うなら、「ウィルスバスター」 にした方が良い。 理由は、 「ウィルスバスター」 は、ウィルスの検知能力が、他のセキュリティソフトに比べて、非常に高いから だ。 また、 「ウィルスバスター」 は動作も軽く、管理画面もとても見やすい。値段も、他のセキュリティソフトよりも安い。

今回、私が感染したウィルスも、もし私が 「ウィルスバスター」 のセキュリティソフトを使っていたら、検知して、自動駆除してくれた。 もちろん、もし私が 「ウィルスバスター」 を使っていたら、ウィルスに感染していなかったので、このサイトも生まれなかったわけだが・・。

セキュリティソフトを導入するなら、 「ウィルスバスター」 にすることをオススメ する。

⇒　ウィルスバスターのホームページはこちら

【編集後記】 このサイトを見てくれた方に伝えたいこと

忙しい時間を割いて、このサイトを見てくれた方に伝えたいことは、 「セキュリティソフトを入れていても、ウィルスに感染することがある」 ということだ。 まず、このことを前提として、いろいろな準備をしておいた方が良い、ということをお伝えしたい。

Windows update や Java、Adobe などのアップデートは、もちろん必要だが、もし万が一、ウィルスに感染したときのことを考えて、ＦＦＦＴＰソフトにパスワードを記録させておくことは、絶対にしてはいけない。 また、定期的に、サーバ上のファイルをバックアップしておくことも、本当に大切だ。

これをしておかなかったら、私のように、ウィルスに感染したときに、死ぬ思いをすることになるかもしれない。　 体験者は語る。マジでパニックになる。本当に地獄だ。気をつけて。

【編集後記】 補足

今回の現象をＷＥＢで調べたとき、 「サイトが改ざんされるという現象は、ガンブラーウィルスによる影響」 という記述があった。 そのため、私は、「ガンブラーウィルスに感染して、サイトのデータが改ざんされた」 と、自分の中で決めつけたが、、、 実際には、今回 私が感染したウィルスが、 「ガンブラーである」 という確証はない。もしかしたら、別のウィルスかもしれない。

今回の騒動は、パソコンがウィルスに感染して、ＦＦＦＴＰソフトに記録していたパスワードが盗まれ、サーバにログインされて、ファイルが改ざんされた、、、これが経緯だ。 ウィルスの名称までは特定できなかったので、これについては、ご了承いただきたい。

あともう１つ。すべてのウィルスが、上記の対処で解決できるとは限らない。 当サイトでお伝えしている経緯や対処方法は、私が実際に、ウィルスに感染したときに行った対処方法 だ。 私が感染したウィルスは、上記の流れで対処できたが、すべてのウィルスに対応できるという保証はない。

しかし、もしウィルスに感染したら、、、

　１． パソコンにいるウィルスをセキュリティソフトを使って除去する。
　２． サーバのログインパスワードを変更する。
　３． サーバ上で改ざんされたファイルを、バックアップファイルから元に戻す。

上記のことを実施されると良いと思う。
もちろん、私のように、地獄の数日を過ごす人が、今後、出ないことを祈っている。