Timesの報道によると、攻撃者が同紙のネットワーク上に少なくとも45件のカスタム版マルウェアを仕込んでいたにもかかわらず、同社のシステムにインストールされていた米Symantecのウイルス対策ソフトで検出できたのは、そのうちの1件のみだった。この報道が物議をかもし、Symantecは異例の談話を発表。レピュテーションベース技術や挙動ベースの遮断といった、追加的な層のセキュリティ対策の重要性を指摘した。極め付きは「ウイルス対策ソフトウェアだけでは不十分」というコメントの最後の一行だった。

　Symantecは正しい。ウイルス対策製品だけでは、どれほど高度で先進的な経験則を用いても、非公開のネットワークをマルウェアから守ることはできない。企業がウイルス対策製品による検出のみに頼ることがあってはならない。サイバー犯罪集団は今や、あまりに多くの手口を意のままに操り、実行可能ファイルに手を加えている。本稿では攻撃者が使うそうした先進的な手口を検証し、企業が高度なマルウェア攻撃を検出するのがいかに困難で手間が掛かるかを解説する。ただし重要なポイントとして、全てのセキュリティ専門家は台頭してくる新手の手口について研究を続けなければならない。マルウェア作者が使う技術は常に進化を続けている。

検出回避のための難読化

　攻撃者がウイルス対策製品による検出を免れるためにまず使う手口の1つが「圧縮」だ。圧縮は、もともとアプリケーション開発者がプログラムファイルのサイズを縮小して配布しやすくするためのものだったが、マルウェア作者が実行可能ファイルの中身を難読化する目的でこれを使うようになった。攻撃者が圧縮技術を利用すれば、マルウェアのコードに手を加えて定義ファイルベースのウイルス対策ソフトウェアをかわすことができる。圧縮のために使えるアプリケーションは多数あるが、Ultimate Packer for executables（UPX）などの人気が高い。UPXはオープンソースで、Sourceforgeから入手できる。

　私は圧縮を通じた難読化の効果を実証するため、この技術を既知のマルウェアサンプルに対して用いてみた。長年の間に遭遇したマルウェアサンプルのコレクションをキープしておくことは、新しい防御策を試し、検出戦略を検証する上で役に立つ。自分のコレクションの中から選んだのは、最も悪名高い2つのマルウェアのコードだった。1つは2012年5月にウイルス対策ソフトに検出されることなくすり抜けたトロイの木馬「Zeus」の亜種。もう1つは偽ウイルス対策ソフトのようなランサムウェアの亜種で、驚異的な成功を収めて世界中のITヘルプデスクを悩ませてきた（関連記事：「SpyEye」開発コード流出、新手サイバー攻撃の恐れも）。

　両方とも古くなったマルウェアのサンプルなので、現在市販されているウイルス対策製品の最新の定義ファイルで簡単に検出できる。46種類のウイルス対策エンジンを通じて不審なファイルとURLを分析できる「virustotal.com」の無料Webサービスでテストした結果、Zeusは46エンジン中43エンジンで、偽ウイルス対策ソフトは45エンジン中42エンジンで検出された。

　次にこの2つのファイルを圧縮ツールにかけ、出来上がった難読化ファイルをvirustotal.comのサービスで分析し、結果を比較した。

　圧縮されたZeusはさらに12のウイルス対策エンジンをかわすことができたが、これは予想通りだった。予想外だったのは、大手数社のウイルス対策エンジンの間で検出状況が異なることだった。米Microsoftのエンジンがこの圧縮ファイルを完全に見落とした一方で、Symantecのエンジンは「Suspicious.SecTool」として分類し直した。

　検出したマルウェアの種類を分類し直したのはSymantecだけではなかった。表の通り、McAfeeを除くウイルス対策大手のエンジンの大半が、このマルウェアを分類し直している。McAfeeは、改ざんされていてもこのマルウェアを検出できた。これは有望に思える。次のテストでは、McAfeeが他のマルウェアサンプルでも同じことができるかどうかを検証する必要がある。

ウイルス対策製品の検出結果比較

　偽ウイルス対策ランサムウェアの圧縮を使ったテストでは、達成度はZeusの圧縮のさらに上を行った。全く検出できなかったウイルス対策エンジンはさらに3つ増え、全部で15のエンジンが見落とした。圧縮されたランサムウェアの実行可能ファイルからマルウェアを検出できなかったエンジンの1つはSymantecだったが、見落としたのは同社だけではなかった。

　このテストでは米McAfeeとMicrosoftの成績が良かった。しかしそれは、この両社のウイルス対策エンジンが、他社に比べて「優れた」防御を提供してくれると解釈すべきものではない。今回のテストは、1つの圧縮ツールを使って圧縮した、わずか2つのファイルで構成したにすぎない。その結果として単純に、この手段を使ってウイルス対策エンジンをかわせることが実証された。その全てをかわすために利用できる手段はまだ他にいくらでもある。次回は、人気の侵入テストフレームワーク「Metasploit Community Edition」を活用したテスト結果を紹介する。