Gumblar（ガンブラー）とは、コンピュータウイルスにコンピュータを感染させようとする攻撃手法の一つ[1][2]。
ウェブサイトの改竄と、ウェブサイトを閲覧するだけで感染するウイルスを組み合わせ、多数のパソコンをウイルスに感染させようとする手口である。同攻撃に関連するマルウェアを指す意味でも多用されるが、どの範囲のマルウェアを指すのかはメディアによって様々である。Gumblarによって、国内外でWebサイトの改竄被害が相次いでいる[3][4]。
日本国内においては、別名でGENOウイルス（ジェノウイルス）と呼ばれている[5][6]。
Gumblarではドライブバイダウンロードによってマルウェアをコンピュータに感染させ、FTPアカウントを攻撃者に送信させることによって当該Webサイトの改竄が行われる。特に同種のマルウェアをダウンロードさせるようなコードが埋め込まれるような改竄によって、感染被害が広がることになる[7]。
この攻撃は2009年（平成21年）3月ごろから発見され始めた[8]。国内では2009年（平成21年）5月ごろから同人サイトや企業サイトなどに改竄被害が広がり、さらに攻撃経路やマルウェアの種類の変化に伴い2009年（平成21年）12月頃から日本の大手企業のウェブサイト（JR東日本・ホンダ・ローソン・京王グループ・ハウス食品など多数）における改竄被害が拡大している。
国内の報道では一般に「Gumblar」が用いられ、特に2009年（平成21年）12月頃から再び猛威を振るった際には「Gumblar亜種」の名称も用いられてきた。日本国内においては、早期に同ウイルスにウェブサイトの感染を確認しウェブサイトを切り替えたがそれでもウイルスの拡散が止まらず感染者を増やしたウェブサイト[9][10][11]の名前を取り、「GENOウイルス」と呼ばれている。
一般に「Gumblar」には2通りの意味があり、「攻撃手法」のことを「Gumblar」と呼んでいる場合と「攻撃で使われるマルウェア」をガンブラーと呼んでいる場合の両方がある。セキュリティ関連企業がそれぞれ独自の考え方で「Gumblar」という言葉を使っているため説明する人によって、また読む資料によって「Gumblar」の意味するところが違うことがある。マスコミによる報道では、「Gumblar」という言葉が「攻撃で使われるマルウェア」の意味で使われることが多い[8]。
Gumblarはその脅威としてWebサイトに埋め込まれる攻撃コード、および攻撃コードによってコンピュータに感染するマルウェアに大別される。
まず何らかの不正アクセスによって、Webページに攻撃コードを埋め込んで改竄する。この攻撃コードは、アンチウイルスベンダーによって「Troj/JSRedir-R」[12]「JS_GUMBLAR」[13]などと呼ばれるJavaScriptプログラムである。この攻撃コードが読み込まれるとAdobe Reader・AcrobatやFlash Player、Java、Windows、Microsoft Officeなどの脆弱性を利用してクライアント側のコンピュータにマルウェアを感染させる[14][15]。
このときに感染するマルウェアはアンチウイルスベンダーによって「Troj/Daonol-Fam」[16]「TSPY_KATES」[13]などと呼ばれるトロイの木馬であり、感染コンピュータのFTP通信を監視しFTPアカウントを攻撃者のサーバに送信する活動を行う。これによって攻撃者が当該Webサイトの管理権限を取得し、サイトの改竄が行われる。このとき、JSRedir-R型のコードの埋め込まれることによってさらなる同様の攻撃が広がっていくのである。
元々マルウェアのダウンロード元のURLが「gumblar.cn」であったことから「Gumblar」の名称が広がったが再び攻撃が広まった際にパターンが変更され、シンプルに攻撃パターンを分類すると「Gumblar系攻撃」、「Gumblar.x系攻撃」、「ru.8080系攻撃」、「cn.8080系攻撃」、「改変型8080系攻撃」の5タイプが存在する[8]。
以上の説明は、Webページの改竄につながる攻撃に関する場合に限る。FTPアカウントの盗難によって、秘密情報が漏洩したりするおそれがある。またダウンロードされるマルウェアはWebサイトを管理しているコンピュータをターゲットにしているが、他の活動を行ったりそもそも種類が異なるマルウェアが感染する可能性もあることに注意されたい。
OS、ウェブブラウザ、ウイルス対策ソフトのアップデートを有効にすること。およびユーザーアカウント制御における高権限で怪しいプロセスを実行しないこと。
2009年当時はブラウザやAdobe提供ツールにおいてJavaScriptを無効化するべきとするアドバイスも多くあったが、その後にブラウザやAdobe提供ツールでの対策が逐次行われている。
JPCERT/CCや情報処理推進機構等では二次被害を防止するため、以下の対策を推奨している。
一部のWebサイト上では誤った対策方法が掲載されている。これらの情報は処置方法として適切でないためしっかりと把握し、他の手段を用いてウイルスを除去する必要がある。