Semplice

　インチキなソフトウェアとして著名なWinAntiVirus Proの新バージョン2007は、ハードウェア環境より取得し作成したIDを送信し、Windows OS固有のシステムファイルをマルウェアとして検出する。
　要点だけ読みたい方は、末尾のConclusionを。

　旧バージョンのWinAntiVirus Pro 2006は、日本人を積極的にターゲッティングしたために多くの被害者が生じた。これが国内における事実上の「Bogusware、Rogueware、インチキソフトウェア、または偽セキュリティソフト元年」である。
　具体的な手口としては虚偽のスパイウェア警告より悪質サイトへ誘導し、「ブラックウォーム」なるものに感染していると騙す手口により被害が拡大した。他のマルウェアにより導入される事例もあるようだが、自分は十分には把握しきれていない。

WinAntiVirus Pro 2007を導入する

　初回のテストは2007年6月に行い、2007年9月8日より追試を行った。

テスト機の概要

　テストに用いたのはVirtualPCのゲストOSで、Windows XP HomeEdition SP2日本語版インストール直後の状態である。
　「誤検知」の可能性を防ぐ目的で、余計なソフトウェアはインストールせず、レジストリ内AlexaやCookie、temp・tmpフォルダを空にし、一時ファイル類も全て削除し、IEのキャッシュも削除したものだ。この状態で「ウイルス、スパイウェア」が検出されるなどまず有りえない環境である。

WinAntivirus Pro 2007をインストールする

　今回供試したインストーラーファイルは、以下のものである。

　またプロパティのバージョン情報より、ファイルバージョン：1.3.96.1、製品バージョン：5.0.322.0の記載を確認した。

インストール前に、パソコン固有の情報を抜き取られ外部に送信されている

　インストーラーファイルをダブルクリックした直後に、このような表示が出る。
　

　既にこの時点で、adfarm.mediaplex.comとulog.jp.winantivirus.comに接続し、不審なIDを送信している。



　id=37457196xx（後ろ2文字は伏字とした）は、VirtualPCの同一バーチャルマシンであれば、何度インストール操作を試みても同一となる。
　思いつきでVirtualPCのゲストドライブにおけるアダプタアドレス（MACアドレス）を一文字だけ変更してみると、勝手に送信されるIDは「15530177xx」に変わった。
　アダプタアドレスより（またはその他の情報を併用し）何らかの方法でIDを作成し、送信しているようだ。

　（インストールが完了すると作成されるファイル、C:\Program Files\WinAntiVirus Pro 2007\sr.logファイル中には、以下のログが1行記載されており、インストーラーがアダプタアドレス（MACアドレス）より作成したIDが保存される。）

MediaPlexのトラッキングクッキーが設置される

　インストーラーファイルをダブルクリックした直後にadfarm.mediaplex.comにユニーク性が高いidを送信し、その結果としてトラッキングクッキーが作成される。
　FileMonのログでは、トラッキングクッキーを作成するのはInternet Explorerではなく、WinAntiVirusProのインストーラーファイルである。
　（FileMonのIncludeにて「CREATE」とただ登録して監視し発見した）

　
　（*クリックで拡大）

　SetされるCookieは「username@mediaplex.com/」だ、Domain属性はadfarm.mediaplex.comではない。

レジストリを漁る、インストーラー

　インストール直前の段階で、RegMonのログを眺めて不思議な点に気付いたのだが。
　WinAntiVirusProは言語の設定やIEやネットワークの設定程度ならばともかく、必要以上のレジストリを何故か漁っているような気がする。
　一例として「HKCU\Software\Opera Software」、もちろんOperaは導入していないためNOT FOUNDとなるのだが、違和感を感じる。

続行をクリックし、インストール直後

　インストール中に裏ではadfarm.mediaplex.com、ulog.jp.winantivirus.comとdownload.cdn.winsoftware.com、trial.updates.winsoftware.comへ通信している。

　インストール直後に行われるスキャンにては、脅威名：Trojan.Win32.DelAll.q、脅威の種類：Trojanが検出される。
　これはWindows OSに元々備わっているC:\WINDOWS\system32.deldrv.exeを検出したものだ、もちろんトロイの木馬などではない。

アップデート

　この時点でのバージョン情報は、5.0.322.1である。
　シグニチャファイルと推察されるC:\Program Files\WinAntiVirus Pro 2007\AWBase\database\enemies.datなるファイルは11.0 MB (11,559,869 バイト)だ。
　アプリケーションアップデート、データベースアップデートを行いOSを再起動したが、プログラムのバージョンもenemies.datも変化が無かった。

WinAntiVirus Pro 2007のスパイウェア、ウイルス検出力

アドウェアを検出できるのか？

　Alexa Toolbar（http://www.alexa.com/）とHotBar（http://www.hotbar.com/）、CnsMin（http://www.3721.com/）、Claria Corporation（旧称：Gator Corporation）のGain入りであるPrecision TimeのAd-Support無料版（http://www.precision-time.com/）を準備した。
　4つの検体は、2006年3月に入手し保存したインストーラーを用いた。

　インストーラーファイルをスキャンさせたが何も検出されなかった。
　Alexa Toolbar、HotBar、ClariaのGatorはインストール操作中にリアルタイムスキャンにより検出された。
　3721の場合、1ファイルがインストール中に検出され、その後に「ウイルス警報 あなたのセキュリティが突破されました！」なんて物騒なダイアログが出る。
　その後にクイックスキャンではなく通常スキャンを実行。
　「警告！！16重大な感染検出！！」と表示される。

Gatorではファイルの名前のみで判断しているのではなかった

　世間にはファイルの名称のみをチェックしているBogus wareも存在する。中身が空であってもスパイウェアとして検出するようなものだ。WinAntiVirus Pro 2007ではどうだろうか？

　GatorのBIC_GatorPT.exe（以前Precision Timeをインストールした際に作成されたファイルを保存しておいたもの）をコピーしようとすると、リアルタイムスキャン？によりAdware.Gator.6200.A382として警告が出た。

　BIC_GatorPT.exeをCドライブ直下にコピーして貼り付け。再起動直後のインスタントスキャンまたは通常スキャンにてAdware.Gator.6200.A382として検出された。

　C:\Program Files\直下に新規作成したテキストファイルをBIC_GatorPT.exeの名称にリネームした空ファイルを作成し設置しておいたが通常スキャンでもダブルクリックしても検出されなかった。
　更には、他のソフトウェアで実行形式ファイル単体で動作するものをBIC_GatorPT.exeにリネームしたが、検出対象とはならなかった。

ウイルスを検出できるのか？

　Cドライブ直下に「virus」と名づけたフォルダを作成し、Happy99.exe、notepad.exe（QAZ）、whatever.exe（Aliz）、marburg.scr（marburg）の4ファイルを設置。
　かなり古いウイルスを供したのは、主たる目的が「ウイルスの検出能力があるのか否か」を検証する目的であるからだ。

　通常スキャンの結果、いずれのファイルもウイルスとして検出できた。
　またフォルダごとコンテキストメニューにてスキャンしても、4つとも検出できた。
　
　（*クリックで拡大）

Trojan.Win32.DelAll.qの誤検出の謎

　余談となるが、DelAllとはかつてWhiterなどと呼ばれたカテゴリのマルウェアであり、WinMXなどのファイル交換サービスを利用しているユーザーをターゲットとして広まった、ハードディスク中のファイルを上書きして消して復旧不能とするマルウェアを指すと推察される。
　元々Windowsに備わっているdeldrv.exeなるファイルを誤検出の対象とした理由は、マルウェアの名称のDel（削除）にかけたものなのだろう。
　
　（表示サイズの都合で空白部を詰めて加工した）

　VirtualPCのゲストOSをセーフモードで起動。
　Trojan.Win32.DelAll.qとして検出されるC:\WINDOWS\system32\deldrv.exeを予め削除しておく。
　ウイルスではないのに誤検出されるシステムファイルを、事前に消して挙動を観察するためだ。

　ゲストOSを再起動、今度は通常起動とする。
　この状態でWinAntiVirusPro2007FreeInstall_jp.exeをダブルクリックしてインストールし、クイックスキャンが始まった。
　「ウイルスが見つかりませんでした！」との表示。少なくともファイルの有無は確認しているらしい。
　

　不思議な事に、deldrv.exeをデスクトップにコピーしてコンテキストメニューより個別にスキャンしても検出されないのに、C:\WINDOWS\system32中のdeldrv.exeを同様にスキャンするとTrojan.Win32.DelAll.qとして検出されるのだ。
　（ちなみにいずれの場所であってもダブルクリック時には検出されない）
　この結果には多少困惑した。Gatorは場所を問わず検出されたのにと。

Discussion - WinAntiVirus Pro 2007の不審さ

WinAntivirus Pro 2007の配布サイト、winantivirus.comのおかしさ

　2007年6月セキュリティホール memoにて掲載されていたURI、http://jp.winantivirus.com/download/2007/よりダウンロードを試みた。
　2007年9月7日にダウンロードしたインストーラーファイルも同一であった。

　「WinAntiVirusはウィルスの検索ために全体スキャンをおこなっています。」なのだそうだ。
　実際にオンラインスキャンをしているように装うこの表示は呆れる。リロードする度に「検出された脅威」が毎回異なる数字になるのは手抜きだ。
　
　（*クリックで拡大）

インストール後のマルウェア検出力と、虚偽のレポート

　アドウェア類をテストした結果、元々WindowsOSに備わっているファイルを誤検出したTrojan.Win32.DelAll.qを除く15例に限定すれば、一応はアドウェア類をスキャンし検出できた。
　またGatorによるテストの結果、名称のみで判断しているのではなく、またファイルの場所はどこでも関係無いらしい。
　既存の偽ソフトウェア類の幾つかはファイルの名称のみで検出し、テキストファイルをリネームしただけの空ファイルであっても検出する事例があるのに比較すれば、まだ良心的だ。

　対照的に、Windows OSに備わっているシステムファイルC:\WINDOWS\system32\deldrv.exeに対しては、全く異なる挙動を示す。
　「Trojan.Win32.DelAll.q」と虚偽のレポートが表示される点のみが不審なのではない。
　Gatorやウイルス類は場所を問わずどのディレクトリ中であっても検出される。これに対してdeldrv.exeはデスクトップや他の場所では何も検出されず、system32フォルダ中でなければ虚偽の検出レポートが表示されないのだ。

ハードウェアの情報を元に作成したIDの無断送信

　WinAntiVirusPro 2007はインストール時に、インストーラーがmediaplex.comにidを送信しcookieを作成する。

　idは桁数が少ないものの機種固有の値が設定されたユニークなものであると推察され、接続元IPアドレスと共に記録すれば消費者を監視するには十分なものであり、mediaplexのトラッキングクッキーと組み合わせればより悪質なトラッキング行為やユーザーの監視が可能であろう。
　MediaPlexの謎 - 詐欺ソフトウェアとの密接な関係（LucaBlog）

　Cookieそのものはスパイウェアではない、だがハードウェアの情報より取得した値を無断で送信する際に同時にSetするCookieは、スパイウェアとしての活動と判断されてもさほど乖離は無いのでは。
　大体、ハードウェアより取得したハッシュ値なんて外部に送信しなければならない理由が存在するのかと

　送信されるIDとアダプタアドレスは桁数は異なり、16進法表記ではない。
　だがアダプタアドレスは（普通は）同一のマシンは存在しないし。
　一部を取り出して加工しユーザー識別の用途に供したとしても、コリジョンの可能性が極めて低いIDであるならば、接続元のIPアドレスまたはアドレスブロックの情報を併用すれば、十分にユーザー及びマシンの識別は容易なのではと。

　WinAntiVirusProのインストーラーが表示した「続行」を押さずライセンス契約も承諾していないにも関わらず、勝手にユニーク性が高いIDを外部に真っ先に送信するのは、あまりにも不審である。

　注視すべきは、Cookieの送信先であるMediaPlexは、WinFixer系のbogus wareと不思議と密接な関わりがある企業である。WinAntiVirusProシリーズもWinFixer系アプリケーションである。
　一例としてMcAfee SiteAdvisor の Web 安全性評価では、ErrorSafeFreeInstall2_de.exe がhttp://img-cdn.mediaplex.com/（以下略）にて配布されていると報告されている。
　MediaPlexは一応は、大手の広告代理店ではあるものの、裏の顔があるのだろうか。

ライセンス契約の不思議 - 信頼済みサイト登録はやり過ぎで、異常

　EULA（使用許諾説明書）は　http://jp.winantivirus.com/download/2007/licpr.php?page=license&prod_name=WinAntiVirus%20Pro%202007　より閲覧可能。

　WinAntiVirus Pro 2007により、WinSoftware Inc.のサイトがインターネットエクスプローラーの信頼済みサイトとして追加されます。
　「WinAntiVirus Pro 2007 - license.html（http://jp.winantivirus.com/download/2007/licpr.php?page=license&prod_name=WinAntiVirus%20Pro%202007）」

　自分はこれまで幾つかのいかがわしいソフトウェアを踏んできたが、Internet Explorerの信頼済みサイトゾーンに登録するようなソフトウェアは、マルウェアやJWordを除けば、あまり例を知らない。
　（ネット上にはJWordが「サイトを閲覧しただけで再感染した！」との事例が多々報告されているが、信頼済みサイトゾーンに登録されたのが理由と推察される）

　WinSoftware Inc.がWindowsの脆弱性を利用するような悪質な罠ページを設置していたらば、Internet Exploreは信頼済みサイトゾーンたる基準が甘い部類にて判断するために、多くの危険なスクリプトが実行されてしまう可能性がある。
　今回のテストにては、信頼済みサイトゾーンへの無断登録は確認できなかった。

　検索エンジンにて「\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\winantivirus.com」を検索すると、幾つかの質問掲示板などに報告事例があるのだが、どうも他のマルウェアによる可能性が排除できないし、呼び水となるダウンローダー系マルウェアを発見できなかった。
　そのためこれ以上の言及を避ける。
　（信頼済みサイトゾーンへの登録については、IE-SPYADと制限付きサイト（Semplice, 2005年10月03日）と、JWordが勝手に・無断でインストールされる理由と経路の謎（Semplice, 2006年8月29日）参照のこと）

Conclusion

• WinAntiVirus Pro 2007のインストーラーファイルは実行直後に、許諾も得ずに不審な活動を行う
  
  
  
  • 大手広告代理店MediaPlex社にハードウェアより取得したハッシュを送信し、Cookieをセットする。
    
  • インストール直前の時点で、必要以上のレジストリエントリへアクセスする（例としてOpera）。
    
  
  
• WinAntiVirus Pro 2007のマルウェア検出力は、変
  
  
  
  • シグニチャファイルが大きすぎる - 何処の情報を元にして作成したのか？
    
  • アドウェア、ウイルスなどを検出可能で、最低レベルの市販製品とある意味で遜色は無い。
    
  • 検出対象ファイルはリネームし場所を変更しても検出される、つまり「ファイルの名称のみをチェックするのではなく、中身をチェックしている」。
    
  • Trojan.Win32.DelAll.qとして誤検出されるWindowsのシステムファイルであるdeldrv.exeは、\system32フォルダ以外の場所に移動しスキャンすると検出されない。
    
  
  
• EULA（使用許諾説明書）には信頼済みサイトゾーンへの登録を明記しているが、今回は確認できなかった。
  
  
  
  • 海外の質問掲示板にては、winantivirus.comが登録されてしまっている事例が多く存在するが、他のマルウェアとの複合感染に起因する可能性を否定しきれない。
    
  
  

関連記事

　偽セキュリティソフトによる、動作しているふり、とは？（Lucablog, 2007年10月21日）
　スパイウェアとみなす基準と、固有ID送信（LucaBlog, 2007年9月22日）
　MediaPlexの謎 - 詐欺ソフトウェアとの密接な関係 （LucaBlog, 2007年9月15日）
　彼らは1年ほどで1億5000万ドル以上も稼いだ - 詐欺ソフトウェアの販売（Semplice, 2007年3月11日）
　偽ソフトウェアを機能面でなく、社会学的理由で注意喚起を促しても良いのでは（Semplice, 2007年1月16日）
　ブラックウォームの警告・WinAntiSpywareとWinAntiVirusProはwinfixer.comの新商法（Semplice, 2006年4月15日）
　WinFixer 2005による脅迫は自作自演（Semplice, 2006年1月21日）
　Bogus wareとRogue ware、インチキソフト（Semplice, 2005年10月18日）
  

　マルウェア含むパスワード付きZip圧縮ファイルをメールに添付する手口は、検出回避としては現在ポピュラーな手口の一つである。
　パスワードが無ければ開けないzipファイルならば、アンチウイルスソフトウェアではzipファイルの中身をスキャンできないだろうと期待するのだろう。
　具体例としてパスワードを記載したgif画像ファイルと、パスワード付きのzipファイルを送りつける例がある。

　ウイルス対策ソフトウェアでは検出できない？実際にはそうでもないようだ。
　もちろん、場合によりけりなのだろう。

　2007年10月19日、簡単なテストを行った。
　eicar.comとHappy99.exeを準備し、それぞれをフォルダに格納。
　圧縮解凍ソフトウェアとして著名なLhaplusにより書庫形式のzipファイルを作成した。圧縮率の設定は標準である。
　zipファイルはそれぞれ、パスワードが必要なものと、パスワード不用のものを作成。

　VirusTotalに放り込んで、結果を観察。

　
　*1：error - password-protexted file
　*2：Password-protexted-EXE

　理解に苦しむのだが、パスワードを知らなければ開けないzip圧縮ファイル中のマルウェアであっても、一部の製品は検出できた。
　だがPassword付きzipファイルでeicar.comを検出できたのはAuthentium・F-Prot・Normanの3つであったものの、Happy99.exeを検出できたのはNormanだけであった（W32/Ska.a@m）。

Norman Virus Controlを導入しテスト

　Norman Virus Controlをインストールし、最新の状態にアップデートした。
　19日にVirusTotalにて供試したファイルを、コンテキストメニューよりスキャン。
　手動スキャンの結果、4ファイルとも検知できた。
　

Discussion

　圧縮ファイルのスキャンができない製品もあり、また圧縮の回数（同じファイルを幾度も圧縮した場合）によっては正常に解凍できずにスキャンをスキップする製品もあるだろう。
　更にはVirusTotalの結果は実際にウイルス対策ソフトを導入したスキャンの結果をどこまで正しく反映しているのかとの点には、疑問はありますが。
　本題ではないのでこの場では議論の対象としては扱わない。


　パスワード付き圧縮ファイル中のマルウェアは検出できないと誤解していたのだが、一部のソフトウェアはeicar.com及びskaを検出できた。
　だが、どのような仕組みにより検出されるのだろうか？不思議。


　今回気にかかった点として、パスワード付きzipファイルのスキャン結果として、VirusTotalにて「何も検出されなかった」ように表示された点だ。
　全ての製品を実際にインストールして試したのではないが、「パスワードで保護されたファイルなのでスキャンできなかった」と知らせるのがよりユーザーにとって役立ち親切な仕様なのではなかろうか。

2007年11月10日追記事項

　コメントにて指摘がありNorman Virus Controlを再度試したところ、パスワードにより結果が異なった。


　Happy99.exe入りフォルダ「Happy99」を、それぞれ1-4の名称のフォルダ中にコピー。格納したフォルダには、下記のパスワードを付けてzip化。

　1.zip：1
　2.zip：a
　3.zip：rLq3X9hw
　4.zip：ぱすわーど

　それぞれのzipファイルを、11-44の名称のフォルダ中に格納。
　格納したフォルダには、下記のパスワードを付けてzip化。

　1.zip：2
　2.zip：b
　3.zip：mze7Ti8a
　4.zip：パスワード


　結果
　1.zip、11.zipのみWorm: W32/Ska.A@Mが検出。
　その他zipファイルはThe archive is encrypted and can not be handledとなった。


　パスワードが1桁の数字であれば、Norman Virus Controlはパスワード付きzipファイルの中身を精査できるようだ。
  

　livedoorニュースにて「たばこダッシュ」、中学生３人逮捕＝コンビニから万引き−警視庁なる記事を開いたらば、凄い広告が表示された。
　Googleのアドワーズ広告は以前ろくにチェックもされておらず、悪質な詐欺ソフト業者の宣伝に力を貸していた問題について以前言及した（Googleの広告に潜む、マルウェア配布者による広告（Semplice, 2006年3月22日））。
　今回は詐欺業者ではありませんが、Googleはここまで来たのかと。
　

　リンク先は出会い系サイトを紹介する内容で、大体は18歳未満はお断りと表記しているサービスではありましたが。
　「中学生彼氏募集の情報をLife123.jpで検索！」、、、、あまりにも倫理的な問題を多く孕み、放置しがたいものではなかろうか？

　次いで、Googleにて「中学生彼氏募集」を検索してみた。
　これまた堂々と、スポンサーリンクとしてLife123.jpなるサイトの出会い系などを紹介するサービスへリンクが。
　

　中学生に中学生の彼氏を得させるのをサポートする目的なんだろうか。
　もしくは「大人が、中学生の彼氏を得るのを促す目的」なんだろうか、児童淫行とか。
　自分にはわからないし、知るつもりも無いし、むしろどうでもいい。

　少なくともGoogleは広告主をマトモに審査していないとの現況を示した、重要な事例の一つとして自分は捉えている。

関連項目

　AmazonによるGoogleアドワーズ広告は無節操（Semplice, 2006年3月11日）
　SpyBotとSpyHunter、Googleのアドワーズ広告の悪用（Semplice, 2005年1月27日）
　TeslaPlus社とPSGuard・WorldAntiSpy、及びこれを狙い撃ちするアドワーズ広告の謎（Semplice, 2005年12月25日）
　Googleの広告に潜む、マルウェア配布者による広告（Semplice, 2006年3月22日）
  

　限りなく同一のインチキソフトウェアが、全く別の名称で配布されているケースが世の中には多々見受けられる。
　ある場合には、以前のバージョンより名称やインターフェイスを変更し。
　ある場合には、ほぼ同一の見た目・ファイル構成のソフトウェアを同時期にリリースする。

　Symantecが9月に発表したAttack of the clones?の和訳記事が紹介されている。
　クローンの攻撃（ITPro）はかなり面白く、所謂インチキソフトとかBogus wareやRogue ware好きならば要チェックだ。

　AVSystemCareとGoldenAntiSpyなるクローン製品をどうやって生成するのか、興味深い解説が述べられている。
　要約してしまうと、

　1）詐欺的ソフトウェアを配布するサイトへ誘導（配布サイトは複数のドメインで運営される）
　2）CookieをSetさせる
　3）インストーラーファイルは、Cookieよりどの導入元サイトよりなのかを判別し、ドメイン名を元にソフトウェアの名称を随時変更する

　エレガントな手口ですね、驚きました。
　これであれば、同一のインストーラーファイルとアプリケーションを構成する同一のファイルにて、多くの名称のアプリケーションをリリースして対策を難しくする。
　名称が違うと被害者は情報収集も困難になるものだ。
　（もちろん、「ファイルの中身」までをチェックするような対策側製品であれば、名称が異なったとしても容易に検出できそうではありますが）

記事中にては、クッキーを任意のものに編集して、その後導入されるソフトウェアの名称を変更する方法が紹介されている - HelloWorld!ですよ、あまりにも微笑ましい。
  

　あのJWordが新たなサービス、PocketPetを開始したそうだ。
　一見すると関連情報や外部の動画や画像などを提供、ブログ検索状のものやWikipediaの関連項目まで紹介し、凄く便利な情報検索・収集ツールであるように見える。

　Intrernet Explorerのセキュリティ設定を中にして、スパイウェアを検索（http://pocket.jword.jp/search/%E3%82%B9%E3%83%91%E3%82%A4%E3%82%A6%E3%82%A7%E3%82%A2）。
　写真や動画、またおすすめ・ウェブ・ブログ・知恵袋・ウィキペディアなどの項目が表示される。下部には「スパイウェア」に関連する本として、amazonよりの宣伝が表示された。

　PocketPetの検索ボックスにキーワードを入力して検索すると、ウィキペディアの該当項目へのリンクをはじめ、Webやブログ、Q&Aサイトの検索結果、Amazon.co.jpの関連書籍が表示される。また、Flickrからの画像やYouTubeからの動画も表示する。JWordでは、「多様な情報源から付加価値の高い情報を1つのページにまとめて入手できる」と説明している。
キーワードごとに関連情報のまとめページ、JWordが「PocketPet」提供（INTERNET Watch）

　【「PocketPet」とは】
　「PocketPet」とは、キーワードに関する言葉の意味や画像・動画などの情報を１ページにまとめたサービスです。「PocketPet」を利用すれば、様々なサイトで情報を確認する手間を省くことができる上、言葉の意味や画像・動画を含めた多様な情報源から付加価値の高い情報をひとつのページにまとめて入手することができます。
　（キーワード関連情報収集ページ「PocketPet」を提供開始〜提携パートナーのニーズにマッチしたカスタマイズで、柔軟に提携を展開〜（JWord）（http://jword.jp/company/info/info_newsrelease.jword.htm?newsid=20070830&text=XLW））

　付加価値が高い、ですか。
　「価値」とは誰が決めるんだろうか。
　キーワード検索の結果、関連情報を集約的に得られる - それがどのような基準で得られ表示されたものかはともかく - ユーザー？
　それとも壮大な規模でお小遣い稼ぎを行うJWordにとっての価値か？

PocketPetでの「おすすめ」は、お勧めできるサイトばかりなのか？

PocketPetで検索した際に表示される「おすすめ」。
ウイルスだったらばトレンドマイクロ社やsymantec社やキングソフトが表示されるんですが、リンク先はいずれも「http://rc20.overtune.com/」以下のものである。

　では、overtuneの会社概要ページを閲覧してみよう。

　主要提携パートナー（2007年8月現在）
　PC主要提携パートナー

　GMO インターネットグループ
・Autopage
・Jugem
・ヤプログ
　JWord
オーバーチュア会社概要（overture）

　もちろんLucaさんは、overtuneがWeb上で重要な存在であるのは知っている。
　具体的な仕組みとOverture Services, Inc.との関係は、自分が感知する所ではない。

　だけどさ。
　いずれの検索結果にても、それほど重要ではないようなもの（スポンサー企業？）が多数含まれる「おすすめ」は、検索連動型広告（になるのかな？）に過ぎない、単なるお小遣い稼ぎにしか見えないんだ。

　実態としてはあるキーワードを元に検索したとしても、JWordかGMOかOvertuneか知りませんが、エンドユーザーにとってさほど必要性も無い・かつ意味が無い広告リンクがかなり含まれているような。
　これって本当に「有用」なのか？

マイナーキーワードの場合

　あまり検索される機会も少ないようなキーワードや、新しい用語をPocketPetで検索した場合には、「おすすめ」は表示されない。

PocketPetに表示される画像は少なく、flickr.comに他人が投稿した画像に依存

　検索結果画面の左上に幾つかの画像が表示され、彩りを添えている。
　これらの画像は、JWordが独自に収集したものではないし、ネット上に存在する無数のサイトよりかき集めるGoogleのイメージ検索のようなものでもない。

　PocketPetでは単に、写真を投稿したり共有する外部のサービスのflickr.comにユーザーが投稿した画像のタイトルもしくはTagsより、検索したキーワードとマッチするものを探して表示しているに過ぎない。

　flickr.comの日本人利用者はそれほど多くないと推察されるため、PocketPetにては英単語を検索した際には多くの画像 - 玉石混合だが - が表示されるものの、日本語の単語では少ない数しか表示されない傾向がある。
　日本語検索サービスを売り物にするJWordとしては、どうなんでしょうかね。

PocketPetにて表示される画像の謎 - 著作権的にどうなんだろうか

　PocketPetにて検索した際に表示される項目「写真」なのだが、画像はどこかのテレビ番組をキャプチャしたように見える。
　スパイウェアを検索した際に表示される、http://static.flickr.com/35/110957047_5695158bc9.jpg は、http://www.flickr.com/photos/kokorohamoe/110957047/によればブロードキャスターなるテレビ番組の名称がつけられていた。
　ウイルスを検索した際に表示される、http://static.flickr.com/50/110957062_b795df4b1a.jpg もhttp://www.flickr.com/photos/kokorohamoe/110957062/ よりブロードキャスターなる番組名が記載されていた。
　（ブロードキャスターはTBSのニュース番組である）

　PocketPetでの「写真」は、www.flickr.comに投稿された画像よりキーワードを拾って自動的に表示するものであるらしい。
　またアニメの名称で検索したらば、幾つかのテレビよりのキャプチャ画像が表示された。

　果たしてこれは、フェアユースなのか公正な利用なのか。著作権の侵害行為なのか。
　JWordに責任があるのか否か、誰にどれだけの責任があるのか。
　自分にはよくわかりませんが、感じが悪いですね。

Wikipediaよりの「引用」と、PocketPetにおける検索エンジン対策

　例として、スパイウェアの検索結果で表示されるページでは、Wikipediaに記載されている内容をインラインフレーム状にまるで自社コンテンツであるかのように表示しており、凄く気にかかってしまったのだ。
　Internet Explorerの設定が「高」ならば、より露骨にコンテンツのかなり大部分をWikipediaよりの「引用」が占める画面を閲覧できるだろう。
　ページ盗用問題のまとめ（2004年3月27日,絵文録ことのは）のような事例とは異なり、Wikipediaからの引用物であると明記されているので問題は無いのやもしれない。

　Wikipedia:著作権（Wikipedia）は熟読し、一応は問題は無いらしいのだが。
　よくあるスパムブログ - Wikipediaの文章を丸写しし、amazonのアフィリエイトで小遣い稼ぎし、自身によるコンテンツなんて皆無なものと雰囲気が似ているなぁと。検索エンジンスパム目的のね。

PocketPetでは、リンク先が書き換えられている

　PocketPetによる検索結果に表示されるWikipediaの文章と、原文のスパイウェア（Wikipedia）を比較してみた。

　冒頭の「ソフトウェア」は、Wikipediaではソフトウェア（Wikipedia）へのリンクとなっている。
　だがPocketPetによる引用部分では「http://pocket.jword.jp/search/%E3%82%BD%E3%83%95%E3%83%88%E3%82%A6%E3%82%A7%E3%82%A2」にリンク先が書き換えられている。
　それも一箇所や二箇所じゃない、Wikipediaのサイト内リンクのことごとくが、PocketPetで「引用」されるとPocketPetでのサイト内リンクに置き換わっているのだ。

　正確にはリンクが絶対パス（http://example.com/aaa/bb/）ではなくいずれも相対パスではあるのだが、/wiki/が/search/に置き換えられ、PostPet用にカスタマイズされているのに気付くだろう。


　検索エンジンボットによる巡回時に、多くのテキストをWikipediaより「引用」してポイントを稼ぎ、更にはサイト内リンクを稼ぐ目的でリンク先を書き換えているんだろうか。
　自分や一般のBloggerがWikipediaよりの乗っかりブログを作って同様にリンクを書き換え盛大に宣伝したらば、ネット上で相当な非難を買いそうですね。

関連記事

　「いいえ」が無いJWord - クローズボックスのみでは明示的拒否の手段は不親切（2007年08月27日）
　JWordが勝手に・無断でインストールされる理由と経路の謎（2006年08月29日）
　JWordとcnsminのスパイウェア・ブラウザハイジャッカー疑惑（2004年10月30日）

更新履歴

　2007年9月2日追記。