なぜ 気づけなかったのか？

質問

韓国の“サイバーテロ”に使用されたマルウェア、セキュリティ各社が分析
internet.watch.impress.co.jp/docs/news/20130321_592671.html

「ドロッパーは、「AgentBase.exe」という名前でMBRを不能にするモジュールを
%TEMP%フォルダーにダウンロードし、実行させる。」

あきらかに クソ怪しいファイル名と
Tempにファイルを落とされて 本当に気づかなかったのか？
おそらく これプロセスにも出てたんじゃないのかな 名前が。

やはり
「韓国の2社（AhnLabとHauri）のウイルス対策製品を作動不能にしようと試みる。」
これが原因で セキュリティが半分 止まっていたとか？

ごく 当たり前な言葉では
ウイルス対策をしましょう とか 言われるけど
このように セキュリティ自体が 停止させられたり
あるいは 機能してるように見えて
実際は ウイルスを 許可していたりした場合には
かえって ウイルス感染に 気づくのが遅れる場合はないのか？
という点も 気になる。

サイトを運営してる人のブログで
サイト改ざんにより ウイルス被害が出たという話があり
その人の場合も 使用している セキュリティが見つけられなかった。
確実に見つけられるものなんてないことは分かるけど
その人は サポートも受けて相談したにもかかわらず
「あなたのＰＣ（サーバ？）に ウイルスはありません」 っと言われたそうですｗ
これが原因で 逆にウイルスの存在に 気づくのが遅れたという話ですね。

「新種だったから」 なんていうのは 言い訳にしか聞こえない。
感染している そのときに 「ソレは 実際に 動いてる」 わけだから。

大規模に感染して 全てが 無体策だったなんてありえないし
それなら 対策ソフトという セキュリティ とやらは 何をしてたんだ？
という疑問なんだけど

このような ウイルスで その存在に気づけない理由や
どのようにしたら 気づきやすいか？

等の 意見を求めます。

回答No.3

lv4u · ベストアンサー

>>感染＝入っていた対策ソフトは 一度アンインストールするべき。
といううふうに考えてますね。
だから 意図的にウイルスを試す場合には
対策ソフトなんて 「無いほうが良い」と思ってます。

通常の対策ソフトは、パターンマッチングによるシグネチャ・ベースでのセキュリティ対策です。
この場合、ゼロディ攻撃や標的型攻撃、ポリモーフィック型マルウエア（常に型を変える）、複合型の攻撃、ＡＰＴ攻撃には対処できません。
そのため、サンドボックス内で、意図的にウイルスを試す手法がFireEyeの方法なんですね。
ただ、現実問題として、サンドボックスをサーバやＰＣ内に作ると、負荷がかかるし、いいかげんなサンドボックスだと、ウイルスに見破られて、その中では活動停止します。

なので、専用のハードウエアを用意し、そこにサンドボックスを作って、ウイルスを試す訳です。さらに、ネットワークの通信状況を監視し、異常な通信があれば、ウイルスとＣ＆Ｃサーバ間の通信として遮断するそうです。さらに異常が検出されたら、情報をメーカーのサーバに送信し、FireEye導入各社との情報共有をするそうです。

>>監視系のソフトは いろいろ探してるけど
とくにレジストリ関係を調べるのが 大変です；。

たぶん、FireEyeでは、サンドボックス内で、レジストリの異常を検出するのでしょう。もちろん、ウイルスが時間をおいて稼働するなら、自分のＰＣのレジストリの書き換えがされるかもしれないけど、そのウイルスがＣ＆Ｃサーバと交信を開始した時点で検出可能になるので、その時点で、通信を遮断し、ウイルス関連ファイルを隔離するようです。

（サイバー攻撃は、国家や犯罪組織が仕事としてやっていますし、攻撃時間帯は、現地時間の９時～１７時だったり、２，３年以上の年月をかけることも多いみたいです。ブラックな仕事しながらも、働き方は計画的で健全なホワイトなんですね。）

ところで、昨年は、ドライブ・バイ・ダウンロード攻撃が増加したそうです。Ｗｅｂから降ってくる攻撃ですけど、少し前のガンブラーとちがうのは、とっかかりが管理者ＰＣ＆ＦＴＰのＩＤ，パスを抜いてからの攻撃ではなく、いきなりＷｅｂサイトの脆弱性狙い、管理者権限を奪って、改ざんしたそうです。とくに、WordPress、Apache Struts2、PHPは狙われたみたいですね。
IBMのレポートによれば、脆弱性攻撃の約９０％がJava、次いでAdobe Reader、Flash Playerだったそうです。
そして、不正プログラム感染でのドライブ・バイ・ダウンロード攻撃の成功率は、12.2%で、９回に１回は感染に成功していたとか。

こんなレポートを見ると、「ＸＰのままでもいいじゃん」なんて思えてしまいます・・・。

お礼

どこかで読んだ記事の内容ですが
セキュリティ関係のメーカーだったか
わざと感染させるための システムを用意し
ウイルスを集めるみたいな話を読んで
あれはFireEyeだったのかもしれませんね。
この場合 感染しやすく
しかもウイルスが 実行を停止しない方法ってことですよね。

たしかに 仮想環境だと かなり怪しい感はうけますね。
リアル環境だと 実行した瞬間から通信していたものが
仮想環境だと 感染はしても 無通信 とかけっこうありますね。

ドライブ・バイ・ダウンロードは
いままで 一回しか 目で確認したことないです。
DomainListのＵＲＬを適当に開いてたら偶然にです。
なんの確認も出ず Tempに落ちてきて そのまま感染でしたね。

＞脆弱性攻撃の約９０％がJava
大げさに言うと
Ｊａｖａを入れなければ かなりの部分 感染しにくいと思いますね。
質問の例の方のサイト感染も
その検出から Ｊａｖａ関係のファイルばかりでしたｗ

ＯＳの種類は 比べれば 危険度の高いってのはありますが
使う感じは 自分では変わりませんね。
ＯＳが違っても やることは同じだろうと思います。

古いＯＳに対応しなくなるものも出てくるだろうけど
古いからこその 感染ってのもあるかもしれないし。
ただ 現時点では
仮想のＸＰで ウイルスを実行すると
普通に感染して 普通に動くものは多いとは 思いますね。

でも だいたいのウイルス感染の比率的なことを言うと
９割以上が ユーザーが知らずに取り込んでいる
（気づかずに開いた＝実行したメール等も含めて）
という部分は 言えると思いますね。

ウイルスに対する認識や どのようになるのか？といった
経験が無いから 取り込んでしまう という部分はあると思います。
これは スキルや知識というものとは 少し違うと思いますね。

回答No.4

advanced_sense

すいません、緊急の注意喚起です。

http://blog.esuteru.com/archives/7576855.html

こういうの水飲み場攻撃と言います。

http://itpro.nikkeibp.co.jp/article/Keyword/20130301/460194/

お礼

今日は 店にクレームのメールを送るウイルスが
拡散されてるというニュースが出てました。

atwiki は まだウイルスいるんですかね。

回答No.2

lv4u

>>「あなたのＰＣ（サーバ？）に ウイルスはありません」 っと言われたそうですｗ
これが原因で 逆にウイルスの存在に 気づくのが遅れたという話ですね。

ウイルス配布していると判明したサイトが、自分の管理しているサイト内ファイルを全てチェックしてもらったけど、「ウイルスはありません」という結果になる可能性があります。
また、サーバ管理者がチェックしても、ゼロデイ攻撃の場合、同じように「ウイルスはありません」という結果になる可能性があります。

>>「新種だったから」 なんていうのは 言い訳にしか聞こえない。
感染している そのときに 「ソレは 実際に 動いてる」 わけだから。

新種ウイルス、別名ゼロディ攻撃の場合、アンチウイルスソフトは、それが存在していても、検知できないことが多いです。
また、感染したあとの動きを検知する仕組みが十分でないと、感染の有無を知ることはできません。

>>このような ウイルスで その存在に気づけない理由

存在に気づかないのは、サイバー攻撃している側が、常に新しい攻撃手法を考えて、検知されないように工夫しているからです。

>>どのようにしたら 気づきやすいか？

最近２つのセキュリティ・セミナーに参加した限りでは、FireEyeの「次世代脅威対策（NGTP）」として売られている製品（ハードウエア）がよさそうでした。
これを導入すれば、ウイルス等が、アンチウイルスソフトやワイアーウオールをくぐりぬけて、感染したとしても、そのことを知ることが可能で、さらに感染ウイルスの動きを止めることもできそうでした。
ただし、最安のモデルでも１６０万円からのようです。
個人レベルでは、「そんなのウイルス対策で買えるかよ！！」となりますけれど、企業であれば、ウイルス感染後の損害賠償や営業停止することによる被害額を考えたら、「それくらいなら買おうか！」という価格帯の製品だと思います。

お礼

「これが原因で 逆にウイルスの存在に 気づくのが遅れた」
書き忘れたけど この方の場合は
単独で使用できるスキャンソフトで 見つけたそうです。
数１０個のファイルが感染してたようです。

＞サーバ管理者がチェックしても、ゼロデイ攻撃の場合、
同じように「ウイルスはありません」という結果になる可能性があります。

隠されちゃうってことですかね。

＞感染したあとの動きを検知する仕組みが十分でないと
感染の有無を知ることはできません。

これは 対策ソフトに頼れるものではないですね。

最近 思うのは
対策ソフトで 防げる場合はよいのだけど
同じ「感染状態」まで至ってしまった場合には
個人的には 無体策のほうがいいとさえ思っています。

感染＝入っていた対策ソフトは 一度アンインストールするべき。
といううふうに考えてますね。
だから 意図的にウイルスを試す場合には
対策ソフトなんて 「無いほうが良い」と思ってます。
対策ソフトまで 不具合おきてくると 余計ややこしいし。

＞FireEyeの「次世代脅威対策（NGTP）」

そんなにいいものがあるんですね。
とても個人では 無理な話ではあるものの
いまある状態を調べたりできるって 理想ですね。

監視系のソフトは いろいろ探してるけど
とくにレジストリ関係を調べるのが 大変です；。

回答No.1

advanced_sense

まあ、あれでしょ。

要はどういった攻撃なら有効的かとかそういった試験でしょ。

で、検出されないようにしたり、セキュリティーソフトの機能を止めようとしたりする手法は前から使われてますね。バイパスアンチウイルスやアンチデバッグのレベル上がってますし。

サイバー空間を制するものが世界を制するんですよ。日本なんかかなーり認識遅れてると思います。

どのようにしたらというんですけど、HIPSは一つ有効かと思います。ただし、使い手がアホだと駄目ですね。

お礼

＞セキュリティーソフトの機能を止めようとしたりする手法は前から使われてますね。

ソフトによる限界みたいなもの感じますね。
どんな対策ソフトを入れても
自分の目での確認は 終わることはないですね。
プロセスくらい見るのは 当たり前なことだし。

＞HIPSは一つ有効かと思います。

これは思いました。
リンク先の内容を読んでいるとＣｏｍｏｄｏ ＦＷ入れてたら
気づいた可能性は高いかなと。
当然 あのような クソなファイルの実行は認めませんからねｗ

ただし アラート等 一切出ずに そのまま感染させられる場合には
気づくのは難しくなるけど Ｔｅｍｐなんかに怪しいファイルがあれば
かなり「気づきやすいはず」ではありますよね。