ウイルス検知の挙動について

質問

皆さんのお知恵をお貸しください。

2台のクライアントPC、AとBがあります。
AとBに中身が同じCD-ROMを読み込ませたところ、Aだけウイルスを
検知しBは検知しませんでした。
Aは隠しファイルの表示は有効でBは無効です。
CD-ROMの中身はPPTファイル、データの入ったフォルダ、AutoRun.inf、
EXPLORER.exeの4つがありました。
ただし、AutoRun.inf、EXPLORER.exeは隠しファイルです。
動作としましては、A・Bともに数分程度（同じくらい）CD-ROM
ドライブにCD-ROMを挿入しPPTファイルを開きました。
間もなくしてAはウイルスを検知し、Bは検知しませんでした。
ちなみにウイルスの検知場所はCD-ROMでした。
PPTファイル、フォルダ、AutoRun.infをスキャンしても
何も検出されず、EXPLORER.exeをスキャンするとウイルスを
検知します。

皆さんにお伺いしたいのは、何故Aは検知してBは検知しなかったのか
という点です。Aのウイルス定義ファイルは最新のものであることは
確認済みですが、BはPCの運用上稀にしか起動しませんので、
Bは定義ファイルが古かった可能性があります。
補足としてウイルス対策ソフトの仕様で、CD-ROMを挿入してもCD-ROMを
スキャンしな事、PC起動時においてもウイルスの隠れやすい場所しか
スキャンしない事（CD-ROMドライブはスキャンしない）が分かっています。
また、CDの自動実行を設定しているAutoRun.infは記述に漢字などが
含まれており不完全なものである可能性があります。

ウイルス対策ソフトのサポートのやり取りの中で検知した理由、
検知しなかった理由として以下のような理由が絞られてきました。
□検知した理由□
・ウイルス対象ファイルであるEXPLORER.exeを何らかの形で
実行してしまった。
・WindowsがC:\WINDOWSの中にあるexplorer.exeとCD-ROMのなかに
あったEXPLORER.exeを間違って実行してしまった。
（EXPLORER.exeはOSによって頻繁に呼び出されるファイルであるため）

□検知しなかった理由□
・定義ファイルが古く、ウイルスに対応するものでなかった。
・定義ファイルが破損していて検知しなかった。
・システムリソース不足のためPCに負荷がかかり、ウイルス対策の
サービスが不安定になったり、停止していた。

Aの検知した理由がウイルス対策ソフトの自発的な検知でないことが
分かった以上、Bの理由が定義ファイルに起因することも多少残し
つつも、メインの理由が定義ファイルに起因するという説明では
シナリオ的におかしくないでしょうか？

長文になりすぎて分かりづらい部分もあるかもしれませんが、
皆さんの意見・見解をお聞かせ願えたらと思います。

以上、宜しくお願いします。

回答No.2

Izumi_Yu · ベストアンサー

AutoRun.infを利用するウイルスはここ何ヶ月の間に大流行しているウイルスです。
Bが滅多に起動しないPCと言うことであれば、やはり定義ファイルが対応していなかったことが検出できなかった原因でしょう。

また、Aが検出した理由として定義ファイルが対応していたことと、AutoRun.infがCDの中身をダブルクリックで実行したことによりEXPLORER.exeを起動してしまった。
この手のウイルスはレジストリ値に変更を加えます。その為ウイルス対策ソフトが検知したのだと考えられます。

ちなみに
＞EXPLORER.exeはOSによって頻繁に呼び出されるファイルであるため
これは間違いです。ただ単に偽装しているだけで、本来のシステムファイルは全て小文字記述です。AutoRun.infがEXPLORER.exeを起動するようにレジストリの変更を加えただけです。

お礼

＞AutoRun.infがEXPLORER.exeを起動するようにレジストリの変更を加えただけです。
念のため検知した方のPCでウイルス対策ソフトのメーカーが駆除方法を
載せていましたので手順に沿ってやってみましたが、
サポートサイトにあるようなレジストリの変更はされていませんでした。

また、AutoRun.infの中身に漢字が含まれていて壊れているかも
しれないと書きましたが、いろいろ調べるうちに壊れているのではなく、
CD-ROMドライブを右クリックしたときに出てくるメニューに
漢字を含んだおかしな項目が出てきて、その項目を選択すると
EXPLORER.EXEを実行するようになっていました。
ただ、AutoRun.infの中身に「shell\open\Default=1」という
記述がありました。これはどういう意味、動作なのでしょうか？

回答No.1

Hack4Life

対策ソフトの
メーカー、ソフトウェアバージョンは全く同一ですか。

ウィルス定義ファイルの違いもあり得ますが、
挙動としてはウィルス検索エンジンに差異があるように感じます。

お礼

ウイルス対策ソフトのメーカー、バージョンは全く同じです。
ただ、BはPCの運用上、定義ファイルが古かったかもしれない
可能性があります。