トロイの木馬とスパイウエア
<< 金銭的利益を求める攻撃-WEB系 の続きです。>>
- 何処が境目？分類？ 「犯人」側は知ったこっちゃない
- 昔のトロイの木馬、今のスパイウエア
- 注目すべきはセットの攻撃
- ウイルス対策ソフトはスパイウエアは専門でない？
- 合法か非合法か
- 発見時の対処は？ (10.31 22:15更新）
- 防衛は？
何処が境目？分類？ 「犯人」側は知ったこっちゃない
何処が境目かなどという技術論、分類論はひとまず置いておきます。それはそれで面白いテーマなんですが、それよりも「複合攻撃」と言うか「連携プレイ」と言うかそちらを押さえて置く方が先だと思うので。
だいたいそんな分類は「犯人」側は知ったこっちゃないでしょう。なんだろうと金がかせげりゃ良いんです。トロイの木馬と言うかスパイウエアと言うか、その中をどう分類するかはこちら側の勝手であちらの知ったこっちゃありません。彼らは単に目的の為に使える道具を使っているだけです。金が稼げりゃいいんです。
「TROJ_AGENTは仲間と一緒に
」などは良い例。また今年のはじめにはこんなトロイの木馬がありました。
トロイの木馬・ウイルス・フィッシングを組み合わせた詐欺メール 2004.1.19
同社は、トロイの木馬ウイルス入りスパムで作られたバックドアからコンピューター・ネットワークに侵入して「オープンプロキシ」を作り、これを拠点にしてさらに大量のスパムを送信する手法をあげている。
同社の推定ではスパムメールの60～70％が、オープンプロキシ経由で送信されているという。
Downloader.Mimail.B
です。
同じ件でこんな記事も。巧妙化するオンライン詐欺--トロイの木馬・ウイルス・フィッシングの「合わせ技」で 「ウイルスをダウンロードする詐欺メールが横行」。
似たようなことは去年にも「トロイの木馬」入りスパムが増加中 （2003.8.1）なんてことが。
同じ様な効能を果たすものでも、あるものは「ただのブラウザクラッシャー」として扱われ、あるものは先日掲示板に登場したJs.Trojan.WindowBombのようにトロイの木馬と認定されるものもあります。
あのスレッドが怪しいのは質問者が書いたこととそのサイトの罠が一致していないことです。
昔のトロイの木馬、今のスパイウエア
トロイの木馬は最近は整理されてきていますが昔の記事を見てみると面白いです。例えばウイルスより怖い、『トロイの木馬』攻撃の実態 （2001.5.21）の書き出しはこうです。
君のコンピューターの中には、幽霊が潜んでいるかもしれない――『トロイの木馬』と言われるプログラムだ。悪質なハッカーの手にかかれば、これを使って君の行動を密かに調査し、データやコンピューターを破壊し、極端な場合には、事業や人生を破綻させることも可能なのだ。 （下線は引用者）
今はこういう言い方はスパイウエアを語るときに使われていますね。
ウイルスよりたちが悪い？ スパイウェアにご用心 2003.4.14
スパイウェアは、電子メール・ウイルスとスパムのそれぞれ最も邪悪な部分を合わせもち、コンピューターに入り込んでいろいろな悪さをする小さなプログラムだ。
別居、解雇、逮捕の危険も？――ブラウザーを乗っ取る悪質なスパイウェア 2004.5.14
ブラウザー乗っ取りプログラムは、ブラウザーのスタートページを変えるだけではない。ときに、ユーザーの人生をも狂わせてしまう。
やれやれです。WIRED NEWSの記事は事例を知る上では結構良いのだか表現は大夫割り引いて考えなければいけません。
同じWIRED NEWSにあるウイルス神話」の正体を暴露する男 ウェブサイト『Vミス』のローゼンバーガー氏
メディアがあおるコンピューター・セキュリティー不安のヒステリーを排除したもので、セキュリティー企業自体が間違った情報を流した場合、どんな些細な誤りにも異議を唱えている。・・・情報提供者の話を鵜呑みにしただけで、記者が内容を吟味もせずに「事実」として掲載した場合は、罵倒の対象にするのだ。
の方に声援を送りたいですね。大体スパイウエアってほんとにそんなに危険なの？ ・・・と言う話はおいといて。（また後で）
注目すべきはセットの攻撃
一般的に注目すべきは迂闊な犠牲者のＰＣに侵入する手段、汎用ツールとしてTROJ系が使われ、それによって送りこまれて金銭的利益を求める攻撃（荒稼ぎ）をするのがアドウエアとかスパイウエアと呼ばれているものであることが多いと言うことでしょう。もちろん送り込まれた特殊工作員が地下アジトを作り無線機を設置してボットネットワークを構築し、アルカイダのように次ぎの大がかりなテロの足がかりにしていることもかなりの確率であると思います。これは次の「荒稼ぎ」の為の投資です。そういうPCを単なる表面的な対処療法だけで放っておかれることはとても迷惑です。
ウイルス対策ソフトがウイルス（これだっていい加減な名前だ）としてシグニチャを作るのはある程度数が出回るものと「黒」と断定出来ることが条件でしょう。ワーム（ここだけ厳密に）のように一気に増殖し感染を広げるものはすぐにセキュリティ対策ソフト会社に見つかりますからトロイの木馬よりは確実に防御出来ます。シグニチャが出来たあとはですがね。 ・・・と言う話もおいといて。（また後で）
ウイルス対策ソフトはスパイウエアは専門でない？
結果的にはそうです。徐々に変わりつつありますが。
ただしそれはウイルス対策ソフト会社がその方面の技術力が劣るとかそういう問題では無いと思います。作り、悪用するテクニックは両者に差など無いのではないでしょうか？ 良い例がこれです。
TROJ_TSADBOT 2000/10/25
米国内の各種コンピューター雑誌などで「スパイウェア」として取り上げられたのを機にウイルス対応リクエストが多く寄せられたため2000年公開のパターン785にて検出に対応いたしました。しかし逆にワクチンソフトによる検出により必要以上の混乱を招くケースが多く見られたこと、また、出所が明確であくまでも不正な目的で作成されたプログラムではないことからパターン788にて対応を取りやめました。御了承下さい。
検出していたのは「CONDUCENT TECHNOLOGIES」社が作成した広告用プログラム"TSADBOT.EXE"です。各種シェアウェアなどでの広告表示用に使用されていたようです。バックグラウンドで動作してインターネットへの接続を検出すると「CONDUCENT TECHNOLOGIES」社のWebサイトに接続し、各種広告をダウンロードして表示。しかもこの広告のダウンロードの際にマシンの使用ＯＳ、ＩＰアドレスのみならずある程度の個人情報までもサーバーに送信してしまう場合もあるとのことですから立派なトロイの木馬でありかつまたスパイウエアでもアドウエアでもありました。
一般的にこのようなプログラムを「スパイウェア」、「アドウェア」と呼ぶ場合があります。 ・・・・
あくまでも不正な目的で作成されたプログラムではありませんので特に対応の必要はありません。ただし、このプログラムの機能を理解した上で使用は不必要とお考えの場合はアンインストールをお勧めします。 （下線は引用者）
苦しい胸の内を察してあげましょう。
企業のリスク管理の一分野にリーガルリスクと言うものがあります。単純に言うと訴訟被害リスクですが、その訴訟被害とは訴訟に負けることによる損害ではなくて、訴訟を起こされることによる損害です。
相手を完全に非合法と決めつけられなければウイルス扱いは難しいのです。個人の善悪の価値判断ではありません。こういうこともあるんですから。
合法か非合法か
「スパイウェア」呼ばわりはダメ――Gator、批判者に法的措置も 2003.10.23
広告ソフト会社の米Gatorは、企業イメージを改善する取り組みの一環として、「スパイウェア」というネガティブな言葉と同社の社名との関連を断ち切るべく法的措置を進めている。今のところ、この戦略は効果を上げている。 こうした「アドウェア」は、より効果的に広告を提示するためという名目で、開発元にユーザーのWebサーフィン習慣に関する情報を報告することがある。「スパイウェア」もこれと同様にWebサーフィン習慣を監視し、広告を表示する。アドウェアとスパイウェアの区別は時に漠然としており、Gatorの名誉毀損訴訟の論点もそこにある。
Gatorって結構悪名高い会社です。 こんな処にまでデカデカと載る ぐらいね。McAfeeのAdware-Gator application も読んでみると面白いです。わざわざこう書いてあります。
感染方法：不明ですが、トロイの木馬やウイルスではありません。
そして2003/10/31には
「スパイウェア」として知られる米Gatorが社名を「Claria」に変更
です。
と、このへんがまたややこしいのです。
低俗さの代表選手CWS の場合、CoolWebSearch
com
は「信頼できる検索エンジン」をうたう身元の明らかな会社でしたが彼らがCWSと総称されるスパイウエア群を作っているわけではありません。CWSと呼ばれるものを作ってばらまいているのは身元不明です。黒ですね。
迷惑ツールバー『Xupiter』の作者 は名前は判っていますが、実に胡散臭い親子で法廷に引きずり出そうと言う人達もいます。しかしそのヨムトビアン側も2001年7月に、米ベリサイン社が彼らの登録ドメイン名2000件を抹消してしまったとして、650万ドルの賠償金を要求して訴訟を起こしたことがありました。
更にそのヨムトビアン親子の会社（Xupiter.comの所有会社）があるハンガリーの法の下ではXupiterに対処できる方法は無い。つまり黒と言いたいが言えないのです。グレーです。
ところがCONDUCENT TECHNOLOGIES社やGator社に至っては、好き嫌いは別にして明らかに合法的な企業なんです。ＰＣの所有者自ら削除するのは何の問題もなくても、第三者であるトレンドマイクロが自動的に削除すると営業妨害で訴えられます。裁判でも勝てる見込みはありません。だからトレンドマイクロはTROJ_TSADBOT で出所が明確で不正な目的で作成されたものでは無いと認め対応（削除）を取りやめるしか無かった訳です。
Spybotにも削除機能はありますが、オートプロテクトで自動的に削除するのではなくて一旦は検出だけ、次にPCの持ち主がそれを削除することによって起こりうるリスクを調査、ないしは覚悟した上で自分の意志で削除をします。この違いはとても大きいです。まず幅広に検出したって良いですし、CONDUCENT TECHNOLOGIES社やGator社からSpybot開発元が営業妨害で訴えられることを回避出来ます。
圧倒的な検出力を誇るPestPatrolはちょっとでも不審な動きをするものは全て検出すると豪語していたと思います。そのかわりそれがホントに要らないもの、余計なものなのかは自分で判断しろだったと。と言ってもたしかあれはPestPatrolだったと思うんだけど。違ったかな～。今年日本で販売を開始したスパイウエア検出、ハッキングツール検出ソフトってあれしか無いと思うんだけど。・・・ちと自信無し。来週営業を呼んで聞いてみようかしら。フキフキ "A^^;
発見時の対処は？
私はトロイの木馬として何が検出されるかに最大の重点を置いています。それによってどういう入り方をしたか、何が欠けてていたのかを知る為です。未知であろうが既知であろうがセキュリティホール狙いのような比較的高度な侵入手段はほとんどトロイの木馬として検出されるはずです。少なくとも現在では。
それがバックドアやらダウンローダーであれば迷わずＰＣごと隔離、ディスクの初期化、再インストールですね。なんせ軸足は会社内ですから。PC１台よりLAN全体です。丁度江戸時代の大火で火消しが延焼を防ぐ為に家を壊してしまうのと同じです。
個人で他人の場合はスパイウエアやアドウエア自体はその人間の問題です。煩わしくて嫌なら（嫌でしょうが）苦労して削除すれば良いのです。私の問題ではありません。しかしそのPCがボットネットワーク を構成するかもしれないとなるとその個人だけの問題では無くなります。ゾンビに襲われて殺された人間がゾンビになっちゃうみたいなもんで、ゾンビになっちゃったらそいつが他の人間を襲います。これは防がなければなりません。
ゾンビに襲われちゃったのは不幸なことですが、ゾンビにやられちゃったのはその人間の落ちども有るわけで、それを何の損失、支出もなしに正常な状態にもどして欲しいなんてそんな虫の良い話はありません。
「ウイルス対策ソフトなんかにお金を払いたくありません」
だったらインターネットなんかにつなぐんじゃねー！
「ディスクの中身が消えちゃうのは嫌なんです」
だったらそうならないように最初からちゃんとしとけよ！
と思いません？
いや、それは私個人の感想ですから他の方が別の対応をされるのは全く、全然かまわないんですが。
防衛は？
スパイウエアの防衛はなにやら難しく考えられているようですが、私はそんなことは無いと思っています。Xupiterはセキュリティホールを突いたと言うような記事もありましたがそれは昔の話です。
WindowsであれIEであれOfficeであれ何であれ最新のバージョンに最新のサービスパックを適用し、セキュリティパッチはその月のうちに更新をする。そしてウイルス対策ソフトも使用する。この条件だけでほとんどのトロイの木馬、及びスパイウエアから逃れられるばずです。今ではマイクロソフトが出し抜かれることは滅多にありません。昔は違うイメージを持たれていましたが、おちついて考えると全てはパッチの当たっていないケースでした。
もちろんまれには出し抜かれることがあります。最近の例ではDownload.Jectですね。つい先ほど踏みました。いや掲示板で相談を受けたんですよ。深呼吸してエイとクリックしたら一気に12回もノートン先生が反応しました。そうしたら最後にDownload.Ject が、おお、これがあの有名な、、、と感動しましたね。（笑）
- ちなみにどんなサイトかと言うとモロにHな「ずっぽり」画像が！ ここまで来たら行きがけの駄賃に、とまたクリックしたらまたバシバシとノートン先生が反応。IEのセキュリティレベルを「高」にしていたので肝心の「ずっぽり」画像は拡大表示出来ませんでした。コンチキショウとHTMLソースを見たらスクリプトで別のサイトへ飛ばしているではありませんか！ MHTMLRedir.Exploit 計５回、Trojan Horse １６回、Download.Ject ２回と、あれだけの危険をおかしてやっとたどりついたのに、そのサイトにはお目当てのものは置いていなかったのです。詐欺だー！
まったくとんでもない嘘つきサイトです。(｀ヘ´) プンプン。
えっ？ 怒る方向が違うだろうって？ (,_'☆＼ ベキバキ
と言う訳でIEのインターネットゾーンのセキュリティレベルを「高」にすることで仮にMS04-025が出る前、ウイルス対策ソフトが対応する前でもDownload.Ject にやられることは無いはずです。
ただし、IE「高」よりまずはWindowsUpdateですね。
過去の「未対応のセキュリティホール」の顛末についてはまた改めて。
| 固定リンク | コメント (5) | トラックバック (0)
最近のコメント