> >

先ほど、@IT の記事を見たら、ClamXav の ClamXavSentry が HTML.Downloader-8 と判断し、ブラウザのキャッシュを隔離した。調べると誤判定らしい。

HTML.Downloader-8 は「[clamav-virusdb] Update (daily: 4961)」によると昨日(2007年11月30日)の daily: 4961 で ClamAV のウィルスデータベースに加わった。手元にある ClamAV のウィルスデータベースを覗くと次のシグネチャがある。

これをデコードすると次の内容をエンコードしたものだとわかる。

隔離された @IT の記事のキャッシュを見ると次の箇所が該当している。

<div id="header_ad">
<!-- ad_start -->
<script language="JavaScript" type="text/javascript">
   <!--
   var yj_sid="784200570";
   var yj_loc="ITN";
   var random=new Date();
   var yj_prp="jp_adn_ait";
   var yj_ads="http://adserver.yahoo.co.jp/";
   var yj_src=yj_ads+'n?f='+yj_sid+'&p='+yj_prp+'&l='+yj_locd='+random.getTime();
   document.write('<sc'+'ript language="JavaScript" type="text/javascript" src="'+yj_src+'">');
   document.write('</sc'+'ript>');
   //-->
</script>

このスクリプトは http://adserver.yahoo.co.jp/n?f=784200570&p=jp_adn_ait&l=ITN&c=r&jcode=s&rnd=時刻によるランダムな数 という URL の JavaScript を実行させるものだ。その URL からは例えば次のような JavaScript コードが出てくる。

これは要するに画像にリンクを付けたもので特に何かをダウンロードさせるものではない。実際上の @IT のページのソースにある ID 属性値から、ページ上部にあるバナー広告が生成されている。バナー広告を生成する JavaScript コードを引っ張ってくる URL と実際に生成されているバナー広告のリンク先から、これは Yahoo 提供の広告だとわかる。

恐らく、Yahoo 提供の広告の中に悪意があるスポンサーがいて、何かを悪いものをダウンロードさせるようなケースがあったのだと思う。それでそのバナー広告を載せるスクリプトの特徴あるところがウィルスデータベースに登録されてしまったのだろう。

上に書いたように、ClamAV が判定する HTML.Downloader-8 は(少なくとも現在は) Yahoo 提供の広告を検出するようになっていて、それ自体が悪意があるものではない。