～トレンドマイクロ、ウイルステクノロジーセミナーを開催
「Slammer被害が韓国で大きいのは大手ISPが感染したのが要因」John Hermano氏
■URL
http://www.trendmicro.co.jp/
トレンドマイクロは、報道関係者向けにウイルス解析技術の動向を説明するセミナーを開催した。セミナーには、トレンドマイクロのウイルス解析技術グローバルプロダクトマネージャーのJhon Hermano氏が来日し、ウイルスのトレンドなどについて講演を行なった。
○複雑化していくウイルス
 |
|
トレンドマイクロのウイルス解析技術グローバルプロダクトマネージャー |
また、Windowsなどのセキュリティホールを利用したウイルスも大量に発生したが、実際に利用しているセキュリティホールの数はそれほど多くなく、いくつかの重大なセキュリティホールに集中しているため、緊急度に合わせてパッチを適用すればそれほど被害は大きくならないだろうと説明した。
○今後は強力なエミュレーションエンジンが必要
Hermano氏はウイルスを大きく「ファイル感染型」と「ファイル感染型以外」の2種類に分類して説明を行なった。「ファイル感染型」は、メールやネットワーク等で自身を拡散するウイルスで、実行後PCのフォルダに自分自身をコピーして感染する。ファイル感染型の感染方法では、「メタモーフィック型」と「ポリモーフィック型」が主流だという。
メタモーフィック型は、ウイルスコード自体が毎回変わるようにプログラムされたウイルス。ウイルスコードが変わるため、ウイルス定義ファイルでのパターンマッチングは難しい。ポリモーフィック型は、ウイルスのプログラムコード自体を暗号化し隠蔽するというもの。
トレンドマイクロでは、メタモーフィックやポリモーフィック技術を利用したウイルスに対応するために、エミュレーション技術を行なっているという。このエミュレーション技術とは、ウイルスコードを仮想に実行することによりそのウイルスコードの動きを解析し、ウイルスか否かを判断するというもの。Hermano氏は、エミュレーション技術は今後益々複雑化していくであろうウイルスに対抗するためには、必要な技術であり、研究を進めているという。実際にトレンドマイクロでは、最新のウイルス検索エンジン「VSAPI 6.510」にて、高度な暗号化などに対応したエミュレーションエンジン「Softmice III」を搭載し、エミュレーションエンジンを強化しているという。
○コンパニオン型の増加とXMLを利用したウイルスの出現
今後のウイルストレンドとしてHermano氏は、メタモーフィック型やポリモーフィック型に加えてコンパニオン型の増加を予測した。
コンパニオン型は、正常なアプリケーションプログラムを起動した際に、気づかないところで同時にウイルスプログラムも起動するというもの。例えば、「Explorer.exe」をいったんウイルス自身にリネームすることにより、「Explorer.exe」を起動すると毎回、ウイルスと通常のExplorerが同時に起動するようになるというもの。感染に気付かなければ、使用頻度の高いアプリケーションと同時にウイルスも起動していることになるため、危険性が高い。
また、ポリモーフィック型やコンパニオン型のように、バイナリーで構成されたウイルスが最近の傾向としては多いが、JavaやPerlなどで作られたスクリプトタイプのウイルスもまだ発生するだろうとHermano氏は予測している。
スクリプトタイプのウイルスは、JavaやPerlなどを用いたものは減少するものの、マイクロソフト「.NET」の普及によりXMLを利用したスクリプトタイプのウイルスが出現するかもしれないと語った。
最後にHermano氏は、Slammer被害が韓国で大きかった点について「韓国でネットワークトラフィックに遅延が発生したのは、韓国大手ISPのSQLサーバーが感染したためだと考えている。さらに、Slammerの性質上攻撃対象IPアドレスが集中することや、パケットが小さいこともトラフィック増加の要因だろう。いずれにせよ、SQLサーバーのパッチを当てていなかった可能性が高く、セキュリティ面に不安があったことは確かだろう」と語った。
 |
 |
| ポリモーフィック型ウイルスのイメージ図 | メタモーフィック型ウイルスのイメージ図 |
◎関連記事
■ウイルス「Slammer」リンク集
■Microsoft SQL Server 2000の脆弱性を利用したウイルスが発生
■トレンドマイクロのウイルスバスター、最新エンジンに不具合を確認
(2003/1/30)
[Reported by otsu-j@impress.co.jp]