こういった欠点を持つポリモーフィズムから進化したメタモーフィック型マルウェアは、ウイルスの変異手法を新たな段階に引き上げるものであった。メタモーフィック方式では、EVBを変異させた上で暗号化による覆いをかぶせるのではなく、MEを利用してウイルス自身を変えてしまうのだ。逆アセンブルを行うことにより、ウイルスコードはその最終的機能の特徴を示すメタ言語として表現される。そして、分析、コードのモーフィング、再アセンブルを行うことにより、新たなコードが生成される。このコードは最初の構文と類似性はないが、機能的には同じだ。

　メタモーフィック型マルウェアは、複製サイクルのたびにそのコードを完全に再変化（そしてそのシグネチャパターンを変化）させる能力により、各種のウイルス対策手法をいとも容易にすり抜ける。そのプロトタイプの1つを「Win32.Metaphor」ウイルス（別名：Win32.Etap、Win32/Simile）に見て取ることができる。「Metaphoric Permutating High-Obfuscating Reassembler」の頭文字を取って名付けられたこのウイルスが最初に出現したのは2002年で、その後、非常に多くの変種が現れた。ウイルス本体は破壊的なものではなかった（日付に応じてさまざまなメッセージが表示されるだけだった）が、幾つかの高度で斬新なメタモーフィック手法は、広範な拡散とウイルス対策の回避を可能にした。エントリーポイント難読化（EPO）、疑似コード置換、サイズの縮小／拡大（「アコーディオンモデル」手法）、アンチエミュレーションタイムスタンプ分析、高度な感染ルーチン、Linuxとのクロスプラットフォーム互換性などの手法の強力な組み合わせは、新種のマルウェアを生み出した。その脅威レベルは、非メタモーフィック型コードをしのぐものだった。これは企業のセキュリティモデルにも変化をもたらし、中心部、境界部、エンドポイントのセキュリティに関して、従来とは異なる戦略的視点が求められるようになった。

　絶えず進化するこの種のマルウェアを確実に検出できる包括的な手法は存在しないが、特定することは可能だ。メタモーフィック方式には、自己分析の必要があるという固有の弱点があるのだ。メタモーフィック型マルウェアは1つの実体として自身のコードを分析することができるため、理論的にはほかのプログラムでもそれを分析することが可能なのだ。エミュレーション手法を用いて、変異後のコードの機能をヒューリスティックに検査する効果的な方法が既に開発されている。また、自動複製システム、類似性インデックス、ジオメトリック分析、トレーシングエミュレータといった手法に関する研究も進んでいる。しかし、検出・防御技術が発達する一方で、ウイルス作成者たちはさらに洗練された効率的な変異エンジンと新しい難読化手法を作り出している。決定的な検出方法が開発されない限り、今後も新たな形態のメタモーフィックコードが増殖を続け、セキュリティコミュニティーにチャレンジを課すことだろう。

　どんな種類のメタモーフィック型マルウェアであれ、最善の防御策は各種の脅威管理プラットフォームを組み合わせた多層的アプローチを採用することだ。ウイルス対策ソフトウェアの利用（頻繁に更新すること）、リモートアクセスの制限、コンプライアンス監視などの対策をサーバおよびエンドユーザーの両方のレベルで採用しなければならない。ネットワーク／パーソナルファイアウォールでは、使用しないサービスポートは閉じておくこと。電子メールサーバでは、コンテンツフィルタおよびファイルスキャニング機能を使用すること。そして、どのような企業環境であれ、明確に定義された効果的なセキュリティポリシーを策定、適用、維持しなければならない。機密性の高いデータを扱うような環境であれば、リアルタイムエミュレーション分析や業務内容に応じたネットワークの分割といった追加的セキュリティ対策を検討する必要があるだろう。

本稿筆者のノア・シフマン氏は、改心した元ブラックハットハッカー（悪質なハッカー）で、25年近くにわたってFortune 500企業のシステムに侵入した経験がある。同氏は現在、フリーのITセキュリティコンサルタントとして活躍する。リスク評価、侵入テスト、暗号化、デジタルフォレンジクス、予測分析モデル、セキュリティ指標、企業セキュリティポリシーなどを専門とする。心理学と機械工学の学位を持つほか、南カリフォルニア医科大学で医学博士号も取得した。サウスカロライナ州チャールストン在住。