被害拡大の原因の1つに、Webコンテンツ作成者を狙った点が挙げられる。Webコンテンツ作成者は、Webサイト利用者（ユーザー）への責任を持ちながら、意識はユーザーに近い立場にある。ウイルス対策ソフトをアップデートするなどユーザーとしての対策は行っていても、サーバ管理者のように運用管理の徹底やポリシー強化などを実施しているとは限らない。

　さらに、クライアント側の被害実態がよく見えない点も問題だ。Gumblarはパターンファイルが配信されるよりも早く、亜種へと生まれ変われる。ベンダーが検体を発見して解析、パターンファイルを配信してクライアント内でマッチングするころには、既に新しいマルウェアとして活動している。

　一度だけ、感染がリアルタイムに判明したことがある。2009年10月、Windows XPの画面が真っ暗になって起動できなくなる事件が発生した。実は、これはGumblarのバグだった。感染中が初めて“目撃”された瞬間である。「当時、コールセンターの電話回線がパンクするほど報告があったと聞いている。裏を返せば、定常的にそれだけの被害があるということ。わたしたちが想像している以上にクライアントレベルの感染は広がっている」（鵜飼氏）

年間2500万の亜種は真の目的の隠れみのか？

　Gumblarは、とにかく変化が速い。ウイルス対策ベンダーのパンダソフトウェアによると、2009年の1年間で2500万の亜種が検出された。わずか1年で20年の歴史を1000万種も超えてしまったことになる。

鵜飼氏

　ここまで多いと、検体を収集して特徴を探り出してからパターンファイルを配信するのでは追い付かない。それだけの数のパターンファイルを各クライアントPC内で展開してマッチングさせるのも、PCの処理能力から無理といえる。「Gumblarに的を絞って検体を探し、パターンファイルを配る方法は限界に来ている。既存の手法は、取りあえずの時間稼ぎにしかならない」（鵜飼氏）

　最近、鵜飼氏は40のウイルス対策ベンダーの検出エンジンを使って疑わしきファイルを解析する「Virus Total」でGumblarの新種を分析した。その結果、1件しか検出できなかったという。もちろん、ウイルス対策ベンダーも必死に検体を入手して対応しようと昼夜努力している。しかし、Gumblar配信サイトはベンダーと思わしきアクセスをブロックするなど回避策を取ってくる。マルウェアが大量に出回っているのに入手できない。ウイルス対策ベンダーの深刻な悩みだ。

　このほか、マルウェアのコードには解析を困難にするトリックも仕掛けられている。「コードを解析するリバースエンジニアリングをさせにくくするアンチリバースなどを使ってくる」（鵜飼氏）

　残念ながら、攻撃者は圧倒的優位にいるようだ。

　だが、本当に恐ろしいのは感染活動の真の狙いだ。今は感染や改ざん程度だが、それが本当にやりたいこととは思えないと鵜飼氏は警戒する。例えばオンラインバンキングで口座振り込みができるが、感染時にWebブラウザを乗っ取るプログラムを潜ませておけば、攻撃者の口座へ振り込ませることも簡単だ。感染活動は、真の攻撃を発動する事前の実証実験であり、本当の狙いを隠すための隠れみのである可能性も考えられる。

　正規のWebサーバに不正なスクリプトを埋め込む方法から攻撃者側で用意したドメインにアクセスさせる方法へと進化するGumblar。「攻撃側の体制が整ってきた」（鵜飼氏）とすれば、真の目的が近く判明するかもしれない。

圧倒的に不利な防御者の対抗手段は「連携」

　対策は大きく2つ考えられる。

　1つは、脆弱性攻撃検出とヒューリスティック検出を導入することだ。Gumblarは現在のところ、Acrobat ReaderやFlashといったソフトウェアの脆弱性を狙ってくる。こうした脆弱性を狙う挙動を検出するのが、脆弱性攻撃検出だ。さらに、怪しいプログラム構造の検出や不正コードを挿入するような動作（ビヘイビア）をブロックするヒューリスティック検出を組み合わせる。

　正規のプログラムは、メモリの特定領域（コードセクション）にロードされてから実行される。だが、攻撃者のコードはデータ領域にロードされる。こうした特徴から不正かどうかを判断し、手続きを停止させるのだ。また、マルウェアは通常ではないプログラム構造や不審な機械語命令の実行を行ったり、マルウェア特有の振る舞いが見られる。このような特徴を検出してプログラムの動作を停止させる。

　2つ目は、サーバ管理者・Webコンテンツ作成者・ユーザーそれぞれの対策を徹底することだ。サーバ管理者には、感染の有無の検知や事後対策といった従来のセキュリティ対策を、Webコンテンツ作成者にはパスワード管理や報告義務の徹底を、そしてユーザーにはウイルス対策ソフトの定期的なアップデートを周知徹底する。「1人でも対策を怠るだけで防御壁は崩壊する。三者全員にメッセージを配信していくのがセキュリティ業界の務めでもある」（鵜飼氏）

　特に、鵜飼氏は2つ目の対策を重視しており、2010年3月の「Web感染型マルウェア対策コミュニティ」発足にもかかわっている。同コミュニティーはセキュリティベンダーが一丸となってWeb感染型マルウェアに立ち向かい、対策など情報を発信していくことを目的としている。

　「自分たちの製品だけで100％対策できるといった強がりを言うのはやめて、得意を持ち寄り苦手を補う。全員で問題の軽減に取り組むことが、一番の対策だ」。鵜飼氏は強調する。

　これは、ベンダーだけの問題ではない。Webコンテンツ作成者やサーバ管理者、ユーザーもまた、自らウイルスセンサーになる覚悟で協力してほしいと呼びかける。それぞれができることを確実に実行し、ウイルス対策ベンダーとともに連携してマルウェアと対峙（たいじ）するのが、一番の対策になる。

　次回以降は、各セキュリティベンダーが推奨するWeb経由のマルウェア対策製品・サービスを順に紹介していく。