エリザン氏が紹介した「Zeus」は、金融機関を標的とした悪名高いマルウェアツールキットで、ものの数分でマルウェアのサンプルを何十個も作成できる。次に同氏はZeusからサンプルの1つを取り出して、別のツールの「SAW IV」で実行し、Zeusの作成時間を再現して見せた。

　ショッキングなことに、いずれのツールもエリゾン氏の労力をほとんど必要としなかった。各プログラムとも、起動してから1分以内に、従来型のAVベンダーには検出できない（少なくとも個々のサンプルについて定義ファイルを作成しない限り）他にはない「ユニークな」マルウェアサンプルを手早く生成することができた。

　エリザン氏は言う。「Zeusは（使い方が）非常に簡単だ。クリックしていくだけで、自分のマルウェアが出来上がる」

　こうしたマルウェアツールキットは「自動エクスプロイトキット」とも呼ばれ、ここ10年の間にユニークなマルウェアサンプルの報告件数が飛躍的に増える主因となっている。2013年の報告件数は、2012年の数字を数百万という単位で上回る見通しだ。アンチマルウェアベンダーの米McAfeeは2013年4月の時点で、新手のマルウェアサンプルは1日当たり10万件以上、毎秒1件を上回るペースで検出されていると報告した。検出されないまま出回っているマルウェアを除外してさえこの数字だ。

マルウェアキットと「ユニーク」マルウェア

　マルウェアの作成工程は1つのDIYキットから始まる。エリザン氏によれば、制約は、そのキットを使用できる時間と、使用するハードウェアのみ。個々のマルウェアサンプルはアンチウイルスベンダーにとってみればユニークなものだが、実際にはDIYキットが生成するマルウェアの単なる亜種にすぎない。

　攻撃者が真にユニークなマルウェアサンプルを果てしなく操り出せるようになったわけではない。同氏によれば、アンチウイルスベンダーや研究者は、ハッシュの末端がわずかに変更されただけで、ユニークなマルウェアサンプルと見なす。

　「ZeusやSpyEyeのようなDIYキットは、無限のマルウェアサンプルを作り出せる。素人目には、それぞれが世代から世代へと全く違ったマルウェアに見えるが、実際には単なるZeusにすぎない」とエリザン氏。

　それでもアンチウイルスベンダーによる検出用定義ファイルの作成作業は、ZeusやSpyEyeのようなDIYキットで作成されるマルウェアサンプルの圧倒的な量に追い付けずにいる。定義ファイルができたとしても、新しいマルウェアはモジュール式になっており、コードのほんの一部を更新するだけで簡単に検出をかわすことができる。

マルウェアの検出を困難にするツール

　マルウェアサンプルを手にした攻撃者は次に、バインダやアンチウイルススキャナなど多数のツールで構成された品質保証（QA）プロセスにサンプルを送り、機能を追加してサンプルを検出されにくくする。

　特にマルウェアバインダは、マルウェア作成プロセスの中で重要な手順となる。バインダはマルウェアの実行可能ファイルを他のプログラムと組み合わせ、一般のユーザーにその不正プログラムを実行させやすくする目的で使われる。エリザン氏によれば、バインダによってマルウェアを別のファイルフォーマットでパッケージ化することも可能だという。

　バインダがエンドユーザーをだます目的で使われるのに対し、「NoVirusThanks」などのアンチウイルススキャナは、マルウェアがセキュリティ製品による検出を回避できるようにすることが狙いだ。アンチウイルススキャナは、市販のエンタープライズ向け主要アンチウイルス製品に対してマルウェアサンプルをテストし、これらの製品でサンプルが検出されるかどうかを判定する。NoVirusThanksの人気が高まったのは、恐らく、他の人気のあるアンチウイルススキャナと違って、テストしたサンプルがセキュリティベンダーに送信されないためだ。

　ただしエリザン氏によれば、攻撃者は自分たちのサンプルがセキュリティベンダーに送信されるかどうかを気に掛けないことも多い。ベンダー側は既に、日々ユーザーから入って来る何万というサンプルに追い付けなくなっている。ベンダーが検出のための定義ファイルを配信できるようになった時には、攻撃者は既にマルウェアを配備することに成功していて、その後でこのサンプルがブロックされるかどうかは問題にしないことも多い。

マルウェア自動化：標的型攻撃の出発点

　もし攻撃者が単純に自分のマルウェアを流通させて、感染の確率をできるだけ高めたいだけであれば、QAプロセスはここで終了する。だがマルウェア自動化は、標的型攻撃を目的とした専用のマルウェアを作成したいマルウェア作者にとっての時間の節約にもなる。特定の組織を標的としたい攻撃者は、マルウェアサンプルの成功を保証するためには労力を惜しまないという。

　そうした標的型攻撃用にカスタマイズされたマルウェアの実例としてエリザン氏は、狙った組織の求人広告を利用する攻撃の存在を指摘した。さらに、もしある組織がシステム管理者を募集していて、職務内容に特定のアンチマルウェア製品のナレッジ管理が含まれていれば、攻撃者はその組織が使っているアンチマルウェア製品を論理的に推定し、その製品による検出を免れるようにマルウェアをカスタマイズできる。同氏によると、標的とする企業に求人について電話で問い合わせ、その組織で使っているセキュリティ製品を尋ねる手口も知られているという。

　何千ものマルウェアサンプルを作成してQAプロセスを完了すると、新造したマルウェアの一群を配備する準備が整う。たとえ金銭のみが目当てでマルウェアを使う場合でも、その性質を持った比較的高度なサンプルが、闇市場で1セント～1ドルで手に入るという。取るに足りない額に思えるかもしれないが、マルウェアの作成にほとんど手間がかからないことや、サンプルを作成するペースの速さを考えると、非常に実入りは良く、1日に数万ドルのもうけになることもある。