【サイト改竄報告】いよいよ8080系改竄サイト出現！

gumblar活動休止か？と見る向きもあり、ほぼリンク切れのないサロン情報リストに掲載したサイトに対するgumblar改竄もなくなって一安心だったのだが、昨日今日と立て続けに新たな改竄サイトが見つかった。春に流行したように難読化されたスクリプトが埋め込まれているのだが、違いもある。gumblarはサイト内のhtmlファイルを軒並み改竄したが、今回は一部のファイルだけが改竄されている。また、ファイル末尾にスクリプトが加えられている点も違う。改竄の自動化を考えると、</head>の後に埋め込んでいたgumblarより単純だが、まあ大差ない。
スクリプトに"/*GNU GPL*/"とあったので、これがJR東日本のサイト改竄などで話題の「8080系」かと考えた。念のため、いつもお世話になっているUnderForge of Lack管理人G`nome氏に問い合わせたところ、ビンゴだった。巷では"/*CODE1*/"に移行しているという話もあるが、今回見つかったのは"/*GNU GPL*/"だけだった。
昨日改竄されたサイトは既に復旧していたので、今日改竄されたサイトにだけ連絡しておいた。IPAのサイト管理者向け対応マニュアルページのURLも書いておいたので、きちんと対応されることを願うばかりだ。その後は、いつものように一覧表から削除し、ウィルス感染サイト報告ページに追記しておいた。

しかし、一部のファイルだけ改竄するのはタチが悪い。サイト上の全てのファイルをチェックするのは無理だからだ。最後は、サイト閲覧者に注意してもらうしかない。尚、セキュリティソフトのKaspersky Internet Securityは無反応だった。gumblarでは、phpファイルをダウンロードしようとすると警告が出て削除されてしまっていたのだが、今回は完全スルー。JavaScriptを無効にしているため、あるいはスクリプト実行時に遮断するのかもしれないが、そんなリスクを犯してまで確かめるつもりはない。JR東日本の大手サイトでさえ安心できなくなった今、皆さんにはスクリプトとプラグインの無効化をお勧めする。この機会に、JavaScriptやFlashが必須な無神経なページは消えてもらいたいものだ。これは、JavaScriptやFlashを使うなと言っていっているわけではなく、それらがなくても閲覧できるようにして欲しいということなので、念のため（まあ、Adobeの対応の遅さや、コンピュータに詳しくない大部分のインターネットユーザーのことを考えると、使わないに越したことはないのだが）。

［追 記］
Kaspersky Internet Securityだが、UnderForge of Lackの記事によると、ちゃんと検出するようだ。とはいえ、やはりスクリプトを有効にして試してみる気にはならないが。