[セキュリティワールド] 悪性コードとワクチン、挑戦と応戦のネバーエンディング ストーリー

「神の島」と呼ばれるインドネシア バリ島で、11月 17日から 19日まで第 13回「AVAR 国際カンファレンス」が開催された。リゾート地のバリ島で開かれたのは今回が初めてだ。

AVAR (Association of anti Virus Asia Researchers) はコンピュータウイルスの拡散と被害を防ぎ、アジア地域のアンチウイルス研究者の協力関係を発展させるために設立された団体だ。アジア、太平洋地域を活動拠点とする会員国によって構成されているが、その他諸外国のセキュリティベンダがアジア地域に研究所を設立し、世界中のセキュリティ専門家が参加するカンファレンスに拡大した。

9月にカナダ バンクーバーで開催されたVB (Virus Bulletin) 国際カンファレンスでは Stuxnet が最も大きなイシューであった。 http://blogsabo.ahnlab.com/562
しかし、AVAR では RFID (Radio Frequency Identification)、フォレンジック、False Positive、モバイル悪性コードなどさまざまなテーマで発表が行われた。

初日には、AVPD (Anti-Virus Product Developers) ミーティングが開かれ、2日目から本格的なカンファレンスが開かれた。基調講演は、今年、セキュリティ分野優秀教育者賞を受賞したエフセキュア (F-Secure) 株式会社の Mikko Hypponen 氏により、「State of net」というテーマで発表が行われた。
Mikko 氏は Brain ウイルスから Stuxnet までの悪性コードの変遷史についてキーワードを挙げながら紹介し、最近では有料電話に電話をかけて金銭的な利益を狙うモバイル悪性コードがゲームに含まれ、拡散していると言及した。これは今年 4月に発見された TredDial をいう。http://blog.ahnlab.com/ahnlab/836

続いてトレンドマイクロ (Trend Micro) 社では RFID の脆弱性を利用した情報流出について発表し、クラウドコンピューティングの概念と相互認証によるセキュリティを提案した。アンラボは、ファイルのない誤検知テストの方法を提案した。

正常プログラムのアイコンを盗用する悪性コードの登場

印象的な発表の 1つは、ビットディフェンダー (BitDefender) 社の研究員による「The Rise of Icon Attacks」という発表だった。アイコン攻撃 (Icon Attacks) とは、正常プログラムに似せたアイコンを使用してユーザーが疑いを抱くことなく実行するように誘導する、ソーシャルエンジニアリング技法が用いられた攻撃だ。最近、このような悪性コードが増加傾向にある。

発表者は「悪性コード製作者は、主に正常なアイコンに色、ノイズ、位置を変更する。このような悪性コードを効果的に区分するためには、色とノイズを減らし、特定の位置に移動して特定値で区分する研究が効果的だった」と話した。

Microsoft 社の研究員が発表した「An Insight Into Managed Downloaders」も印象に残った。発表者は、持続的にイシューとなっているボットネット (Botnet) が製作ツールによって大量に製造されている近況について説明した。また、悪性コード製作ツールとともに購買費用、ボットネット サーバーの機能を紹介した。2010年 2月から 10月までに実施した調査では、ブレドラボ (Bredolab) 悪性コードのサーバーは約 173万個、Oficla 悪性コードのサーバーは約 75万個に達するという結果も発表した。

セキュリティ企業毎にさまざまな調査や実験をしていること、ボットネット サーバーが予想をはるかに超える数が存在するという事実を知り、驚いた。世界的に感染したクライアント (PC) 数も、想像以上に存在しているということであり、これが Stuxnet のような電子制御システムを攻撃するボットネットであれば、全世界が一瞬で麻痺するのではないかと思った。

ワクチン、悪性コードの後を追うのではなく、自ら発展する時

最終日もさまざまなテーマで発表が行われた。華為シマンテック (Huawei Symantec) 社の研究員は、中国のサイバー犯罪の現況を紹介した。中国は、プログラマーの所得水準が非常に低く、悪性コード製作者の所得は比較にならないほど高いことから、サイバー犯罪の誘惑に陥りやすいという。また、サイバー犯罪を防ぐために中国公安部がセキュリティの標準と法案を作成する機関を設立して、運営中であることを紹介し、政府と産業界がより緊密に協力する必要があること強調した。

フォーティネット (Fortinet) 社の研究員は「An Automated Malware Processing Lab」というタイトルで悪性コードのビヘイビア基盤データの自動化処理システムについて発表した。これはアンラボの分析自動化システムと似ているが、アンラボのシステムより技術が不足しており、自動化した悪性コードを判別するシステムがない。

Quick Heal 社の研究員はウイルスによるファイル感染をビヘイビア基盤で検知して遮断する方法について発表し、トレンドマイクロ社はウイルス感染ファイルを一括復元する方法を動画によるデモを用いて紹介した。これは、世界中のセキュリティ専門家が、アンチウイルス ソフトウェアは悪性コードを後から追うのではなく、知能的に発展していく必要があるということに共感していることを表した内容だった。

セッションの最後に、最近増え続けている偽ワクチンについて 5名 - Righard Zwlenenberg (Norman)、AndrewLee (K7)、Lysa Meyers (West Coast Lab)、David Harley (ESET)、TonyLee (Microsoft) - が参加したパネルディスカッションが行われた。このディスカッションは Twitter でリアルタイムに伝えられた。

ディスカッションの主なイシューは「合法的なプログラムと偽アプリケーションをどのように定義するか」だった。広告だけ表示するプログラムが悪性コードに変質する可能性が高いということが共通した認識だった。また、このようなプログラムが犯罪のために若い世代の「デジタル ネイティブ (digitalnatives)」にアプローチしていることも深刻な問題であると言及した。

今回のカンファレンスは、定期的な情報交換によって、テロの脅威により迅速に対応し、安全なインターネットの世界を作る必要があると再認識する契機となった。法の網を巧妙にくぐり抜け、大量に配布されている偽プログラムをはじめ、すべての悪性コードを効果的に診断し、防御するには、このようなカンファレンスを活性化する必要がある。