2005年12月31日 - ワンクリック詐欺、ワンクリウェアなるもの
ワンクリウェア（One-click ware, Oneclick ware）の解説
ワンクリック詐欺と言えば、携帯電話で見知らぬ方からメールが送られ、それを閲覧し参照したらばアダルトサイトで、なる話が有名なんだけど。今回のお題は携帯電話で閲覧できるサイトではなく、パソコンでの話である。
そしてここでは限定的に、あるファイルをパソコンにてダウンロード・実行したらば何らかのマルウェアに感染し、金銭の支払いを強要されるとの事例を扱う。これを「ワンクリウェア」とこの場にては称する。
（正直な話として、自分は携帯電話は不要と考えているため保有しておらず。そのため携帯電話での事例は感覚的なものが備わっておらず判断ができない）
ワンクリウェアの語源はabcdefさんなる方がネット上で最初に利用したとの説があるものの、本人に突撃取材したらば初利用とされる時期が微妙に合わず。このような単語の語源や用法には興味がありますが、とりあえず今回のリサーチでは「語源」は見つけられませんでした。
恐らくはワンクリック詐欺、及びソフトウェアなる用語を結びつけて作成された造語なんでしょう、ワンクリウェアは。
さて、ワンクリウェアについて簡単に説明するのだが、その前に。
多分Lucaさんがアレコレと書くよりも、この問題について積極的に取り組み成果を上げているサイトがあるので、まずは以下の2つのサイトを閲覧してもらいたい。
abcdefのワンクリウェア試験記録
ネット詐欺相談室
どこかのアダルトコンテンツを含むサイトにて、「動画はこちら」とか「もっと画像が欲しい？」などの文面に惹かれ、リンクを踏んだとする。それがaviファイルやmpegファイルと思いきや、それが実行形式ファイル（exeなど）また時には二重拡張子（例：adult.avi.exeやpic.mpeg.exeなど）であり。動画と思い込んで開いたファイルにより悪質なマルウェアに感染する事例が近年多数発生している。
このような場合において、怪しいアダルト業者のサイトよりダウンロードした実行形式ファイルを、「ワンクリウェア」と称する。
具体的な症例として、OSを起動するたび、また何かの操作のたびに「金払えー、契約したんだから金を振り込めー」としつこく何度もポップアップ表示が出るなどだ。
そのような極めて低次元のソーシャル的なテクニックによりワンクリウェアをインストールさせる事例が大多数のように思われる。面白いものですな。
不思議な話なのだが、過去に日本国内の悪質業者が活躍した強制架電（国際電話ダイヤルQ2にダイヤルアップ接続の接続先を変更させる罠）ではRedlofで使われたMS00-075のExploitを用いて、脆弱性を解決していないバージョンのInternet Exploreｒを用いて閲覧したユーザーに強制的に実行ファイルを踏ませシステムの設定を改変する事例が多数あったものの。このワンクリウェアにては、そのようなExploitを利用した強制的インストールの事例はほぼ皆無である。
（これは踏んだサイトの数が十分でなかった可能性もあるのだが）
これらワンクリウェアは、感染してもそれほど凝った仕組みの改変は行わない傾向があるようだ。例外としてウォッチャー（Watcher）タイプのものが存在し、複数のプロセスが相互監視しており駆除がやや難しいものが存在する。
（もちろんこれも、自分が踏んでテストしたサイトの数が十分でなかったし、また見落としている可能性を否定はしない）
特定サイトへの接続を妨害（2006年2月追記事項）
アンチウイルスソフトメーカーへの接続を妨害するワンクリウェア感染例を発見した。システムの復元機能により修復できたようなので、hostsファイルによるものではないようだ。
ワンクリウェア以外のマルウェアに感染していた可能性は否定できないが、全く関わりの無い方のブログに掲載されていたその方の知人のパソコンでの話であったため、詳細情報の入手は断念した。
またワンクリウェアの特徴として、更新のスピードが極めて早い悪質サイトが多いのも興味深い点だ。
つまりあるアンチウイルスソフトにて対応できたとしても、その直後に更新版のワンクリウェアが配布され、そしてアンチウイルスソフトのシグネチャファイルにては検出できなくなる事例が多発している。どうもパッカーか何かで元々のexeを処理してるような感じなんだけど、自分は職業的プログラマーぢゃないし詳しく解析するのは無理だったりする（所謂ノースキルね）。
シグネチャによる対応のみではなく、ヒューリスティックスキャンでかなり対応しているソフトとしてはNOD32が善戦しているとのレポートを前述のabcdefのワンクリウェア試験記録にて閲覧しましたが。
これに対してはabcdefさんがアンチウイルスソフトメーカーに積極的に検体を提出し対応を迫る、草の根的運動を行っている。もしも興味深い事例を発見したならば、是非とも協力し支援していただきたいと、Semplice読者の方々にはこの場にてお願いします。
と言いますかアンチウイルスソフトは、二重拡張子やまたexeファイルのアイコン画像がaviやmpegの場合には警告したって、いいんぢゃないのかと不満を覚えたり。これらはいずれも「まともなファイル」である事例はほぼ皆無だろうし、サクッと検出してもいいような気がする。
ワンクリウェアの感染様式について
何故にこのような「騙しテク」に依存し、Internet Explorerの脆弱性を利用した強制的にインストールするようなテクニックを用いないのかが、長らく引っかかっていたのだ。
ある日ふっと気付いたのだが、それはこのようなユーザーの誤解なり理解不足に付け込み金銭を要求するような詐欺においては、強制インストールは必要が無い・もしくは不適切なのではなかろうか。
強制架電詐欺、これはユーザーに気付かれないようひっそりと行う必要があった。後日数万円から数十万円単位の情報料を請求するまでに、時間を稼ぐためである。そして海外との国際電話サービスなどとの契約の関係で、この支払いを拒絶するのは難しかったようだ。
ワンクリウェアの場合、法的にはこれはまともな契約とは言いづらいのは確かなのだが。
悪質業者が求めるのは金銭であり、これを得るためにはカモに対して何らかの形で罪悪感とか「そう言えばこのような操作を行った」との認識を与えるのは必須である。
「そう言われればどこそこのサイトにて自分が何かを開いて、それから支払いを要求されたんだよな」、との被害者（カモ）による明瞭な認識が生じなければ、銀行口座への振込みにより完成するビジネスモデルは成立しないのだ。
強制的・無断インストールであれば、被害者は当然警戒するだろう。だがユーザーの自発的行為の結果だと思いこませられれば、支払い率は相応に向上すると期待される。
要するに、被害者には「そう言えば自発的にこのような操作を行った、それが契約なのだろう、だから金銭を支払わなければならないのだな」とのあきらめ感を感じさせる必要性があるのだろう。
一部の海外業者が現在行っている悪質的マーケティングにより、ブラウザハイジャッカーに感染したユーザーのパソコンが完全にジャックされ、あらゆる種類のマルウェアに感染するような事例は多数見かけるのだが。それらが行うような強制的無断インストールによるマルウェアの強制インストール、つまり「ユーザーに責任を感じさせない（そして被害者意識をまず感じさせる）」ような手法は、銀行口座への振込みやクレジットカードよりの支払いへの成功率を下げるだけである。
ワンクリウェア配布者とその実態
ワンクリ詐欺は組織犯罪
これらワンクリック詐欺を行っている業者は、どうもLucaさんの私的な感覚的なものでは、以前不正架電詐欺トラップをWeb上でやっていた業者と同一のような気がする。というのは、某ワンクリウェアのアダルトサイト業者が使う画像、これのカメラマンは過去に相当数の被害者を出した某サイトのカメラマンと同一人物のような気がするのだ。
またサイトの構成などが劇似とか。
（これらはあくまでも、個人的な「感想」や「思い込み」に過ぎないのだが）
いずれにしてもこのワンクリウェアは国内初の悪質アダルトサイト運営者によるトラップではない点は、心に留めてもらいたい。
以前より「日本発のウイルスは皆無だ、それは日本人の倫理観の高さによるものだ」的な記事を何度か拝見したんだけど。何でもアリな分野では、そうでもないのだな。
さて、ワンクリウェアや不正な詐欺的請求についての代表的ニュースを幾つか眺めてみよう。
ホームページの画面を１回クリックさせて登録料などを請求する「ワンクリック詐欺」を繰り返していたとして、大阪府警は、男女５人を組織的犯罪処罰法違反（恐喝）容疑などで逮捕し、主犯格の男１人を同容疑で指名手配した。「振り込め詐欺」の一つであるワンクリック詐欺が摘発されたのは全国初。「社長」と呼ばれる男が約５０人の「社員」を統括して「支店」を開かせ、携帯電話のアダルトサイトを利用した１２都道府県の数千人から約６億６０００万円を振り込ませていたという。
指名手配されたのは、アダルトサイト制作会社長、中西俊昭容疑者（４０）＝大阪府松原市。逮捕されたのは男４人と女１人で、岩阪達也容疑者（４０）＝兵庫県西宮市＝のほかはいずれも２０代。
捜査２課の調べでは、中西容疑者らは１月、携帯電話のアダルトサイトを見た兵庫県内の６０代の男性に対し、「登録申込金と解約手数料を支払わないと家族や会社に見たことが知られる」などと電話で脅し、指定した銀行口座に約１１０万円を振り込ませた疑い。中西容疑者らは昨年末、別の会社が運営する携帯電話のアダルトサイトの利用料を徴収する業務を請け負っていた。
このサイトは携帯画面上を１回クリックしただけで「会員登録」のメッセージが表示され、自分の電話番号を通知しないと退会手続きができないシステムになっている。中西容疑者らは、通知された番号に何度も電話をかけ、閲覧者に振り込みを迫っていたという。
岩阪容疑者が「部長」、残り４人は「社員」などと呼ばれ、中西、岩阪両容疑者が直轄する「直営店」と、それ以外の「支店」は計８店あった。府警が、指定された複数の銀行口座を確認したところ、約６億６０００万円の振り込みがあったという。これらの口座の大半は架空名義だった。
「ワンクリック詐欺を摘発 大阪府警、１２都道府県に被害（2005年4月13日）（http://www.asahi.com/digital/internet/OSK200504120068.html）」
また、これなど。
著名ネットジャーナリストが「ワンクリック詐欺」で逮捕。
えっ！？あの本の著者がワンクリック詐欺師！
「解除」しても入会させられる仮登録催促型ワンクリック詐欺
ネットトラブルコンサルタント、裏では詐欺集団のボスだった！
京都府警と岡山県警、ワンクリック詐欺でソフト開発業者を逮捕
このワンクリウェアによるアダルトサイトトラップは、組織犯罪なのだな。それはほぼ同種のトラップが乱立し時には同一業者が運用していると考えられるトラップ付きサイトが複数存在している点で示唆されるのだが。
具体的には表示される内容の類似性、使われているワンクリウェアの類似性や「個性」など）
日本の警察、これは割とこのような分野では「鈍い」ような気がする。かつてLucaさんはこの手の悪質アダルトサイトをリストアップしあちらこちらの県警や団体に通報したものの、全くかけあってもらえず門前払いを喰らった経験がある。
今後ウイルス作成罪とか意味不明な法律が施行されたらば、またはされなくてもですね。
これらワンクリサイトなる悪質業者は詐欺であるのは間違い無いのだし、とりあえずバンバンと取り締まってもいいような気がするんですが。またいっそ猥褻図書配布とかで網をかけてとか。
自分は法律って全くわからないんですがね。
実際に被害に遭った方からの訴状が届かなければ、対応されないものなんですかね、警察って。
アダルトサイトの悪質な宣伝
いつ頃より始まったのか、詳細にはわからないんですが。アダルトサイト運営者がサイトを宣伝するに当ってネット上での掲示板やBlogを利用するケースが近年多発している。
ワンクリウェアを配布するワンクリサイトでも、この手の手法により宣伝される事例が多数あるのだが。
実際に見つけた事例を幾つか紹介する。
- 自動書き込みツールによる宣伝
- 同一の文書を電子掲示板（例としてメガビや2ch）に自動投稿する
- Blogへのコメントスパム、トラックバックスパム
- 同一の文書を電子掲示板（例としてメガビや2ch）に自動投稿する
- バイトによる手動書き込み
- 同一の文書をただ書きこむだけ
- 前後の文章を踏まえて、極力不自然ではないような形で書きこむ。一例としてSMのサイトにて「ここまで激しいプレイはどうこう」と、一般の参加者による情報提供や書き込みを装った宣伝
- 一応断っておくが、LucaさんはSMとかそういうのは興味が無い。
- 同一の文書をただ書きこむだけ
- 実在の女性であるよう装ったブログやWebサイトへの誘導
- これらは極めて巧妙であり、一般的な普通のユーザーであるように装い宣伝する。
- ワンクリウェアの例ではないが、unknown-userさんがこれらの実態についてレポートしている。業者が設定した「個人のブログ」を実在の人物によるものと錯覚させ、そこで推奨されている出会い系サイトに登録するよう誘導するなど。
- これらは極めて巧妙であり、一般的な普通のユーザーであるように装い宣伝する。
そこまでして宣伝したいのかねぇ。。。。。。。。しみじみとうっすら背筋が寒いし、また人間として激しく軽蔑しますよ、はい。
妻子やご近所には、自身の職業をどう説明してるんですかね。
ワンクリック詐欺セットはネット上にて販売されているのか？
「オレオレ詐欺」とか「スパム用メールアドレス収集ソフト及び自動書き込みツール」などは、昨年の時点ではネット上にてはメチャクチャ溢れており。Google検索したり怪しいサイトを辿れば容易に宣伝もしくはこれを販売するサイトが発見できた。
ところが近年、マスコミの報道にてこれらの怪しいサイトや業者の存在が披露されたためか、これらは急速に陰を潜め・また発見できないよう深く潜行しているような気がする。
ワンクリ詐欺業者が「ワンクリ詐欺用パック」などを販売していないかと興味を持ち、かなり時間をかけて探したのだが。とうとう発見できなかった。
蛇足だが、スパム送信業者によるメールアドレス収集ソフト、これは複数の製品が未だネット上にて宣伝されているのだな。海外ではWeb上の書き込みよりメールアドレスを収集するような作業は違法行為となる地域もあるようなんだけど、日本国内ではこれらは違法行為ではないのだ。
だからなのか、これは例外として「まともな企業を装って」宣伝されているらしい。
Acknowledge and Appendix
2005年（平成17年）はもうすぐ終わりで、本日は大晦日。
Lucaさんは特定のネタに関して、これだけゴタゴタと騒動に巻き込まれた経験はありません。
取材？をするうちに諸般の嫌がらせのようなものもあり（業者よりではなく、セキュリティ万歳な立ち位置の方）。また変な方より「自分の業績稼ぎを邪魔するな」と電波な要求PMを送りつけられ、対応には大変難儀しました。
この2ヶ月間は多少精神的にナーバスになっていたような気がしまして。心配していただいた方々には、この場にて深くお詫び申し上げ、また感謝いたします。
（そのような理由にて、本来はExcelにて書いていた原稿は300行あったものの、大変コンパクトなものとなりました）
abcdefさん、イカさんには様々なアドバイスをいただきました。
助次さんは誤解や齟齬がありましたが、大変お世話になりました。
yassyさんにはこれらワンクリサイトに関する状況を紹介していただき、ありがとうございました。
Sakaiさんからは、様々なゴタゴタでメゲつつあった自分をフォローしていただきました。
その他ここでは名前を出しませんが、Lucaさんの好奇心に親切に対応していただきアドバイスしていただいた方々に、心より感謝いたします。
関連記事
悪質業者による不正請求と小額訴訟
Posted by Luca at 19:38
│
│
2005年12月27日 - 商業サービスによる無断キャッシュ行為と著作権侵害
謎のミラーサイト
最近妙に気になっていたのだが。Google検索するとそれを含むページとは全く無関係の、何とか.co.jpなるドメインのURIが表示される場合がある。
一例として、このようなものである（ドメイン名などをここで晒すのは気の毒な気がしたので、書き換えてある）
http://www.example.com/example/filter.php?offset=& q=http://d.hatena.ne.jp/LucaLuca/20041024
また現在のSempliceとしては、これ。
http://www.example.com/example/filter.php?offset=&q=http://blog.lucanian.net/
これより表示される内容は、こちらのサイトのコピー（キャッシュ？）である。
http://www.example.co.jp/以下のURIにて表示される内容は具体的には、こちらのサイトを携帯より閲覧した状態の「完全なコピー」であり。そして最上部に以下のようなアンカーが2つ付いているだけである。
ただこのような1行がおまけ程度についているのが、唯一の違いだろうか。
「Original Page」はキャッシュ元のURIへのリンクである、一応は。
しかしながら転載したとの事実を、全く明記していない点は、記憶していただきたい。
これがどのようなサービスなのか、理解に苦しむのだが。
検索エンジンやSEOに詳しい方ならば、そのような無関係のURIより全く同じ内容のページをネット上に公開されると、場合によってはミラーページと判断されたり、また本来こちらへ来るべきユーザーが全く関係の無いサイトへ誘導される可能性があるとは気付くだろう。
またそのようなSEO的視点とは別問題としてですね。
このような転載の事実をはっきりと明記しない無断キャッシュは、単なる著作権侵害行為である。
「Original Page」にリンクを貼ってるから問題無い？いや、違う。
例えばGoogleやYahooでは、キャッシュページにははっきりと引用の事実を明記している。以下はそれぞれmicrosoftを検索し一番上位に表示されたページのキャッシュである。
サービス利用者ならば、そんな事は承知しているだろうって？
いや、それも違うのだよ。
このサービスは、利用者がサービスを利用したらばそのURIを元に無断で（引用の事実を明記しない）キャッシュページを作成する。そしてそれを利用していない全く無関係のユーザー及び検索エンジンより閲覧できる形でWebに公開するのだ。
しかも「自社ドメインを含むURIの一部として」。
現に自分は、Google検索にてこの著作権侵害行為を発見した。これは少なくともGoogleが、自分のBlogとこの何とか社の「キャッシュ」ページを別のものとして認識した結果だ。
自社ドメインを含むURIにて「無断キャッシュ」をWebに公開するならば、引用の事実は明記するべきである。そのような対応がとられていない現状では、どう解釈していいのやら。
まさかと思うが、（見逃してもおかしくないような）「Original Page」のリンクは、引用の事実を明記し十分に説明していると考える方が居るならば、それはおかしい。
常識的に考えて、YahooやGoogleのようにそれははっきりと明示するべきである。
やっぱり著作権侵害としか捉えようが無い
このサービスがどのようなものなのかは理解していないが。電話にて直接問い合わせたところ、担当者より以下のような話を伺った。
- （そのサービスは）携帯より閲覧するユーザーの利便性のためのキャッシュサービスである
- Googleにはこちらから（Googleのキャッシュを）削除するよう連絡しました
何がどう問題なのか、全く理解していただけなかった感がある。
Googleの件は、こちらが一例として取り上げただけであり。それは瑣末な事柄なのだよ。
そこでこのように説明し要求した。
- 引用の事実を明記しない無断キャッシュは著作権侵害行為に過ぎない。大手検索エンジンのキャッシュページと同様に、引用の事実を貴社の「キャッシュ」ページに明記するべきである
- サービスを利用しないユーザーが外部よりそのキャッシュを閲覧できるのは、誤解を招く可能性があるので対応していただきたい
- 貴社が行っている「無断キャッシュ行為」に速やかに対応していただきたく、まずはSemplice及びLucablogの無断キャッシュは削除してもらいたい
- 2-3ヶ月後に様子を見るが、改善されていなかったらば法的手段による解決をとる
お詫び
電話にて対応していただいた女性に、全力で怒気をぶつけてしまいました。
こちらがムッとしているのは貴社が提供しているサービスにおける著作権への軽視な姿勢であり、電話オペレーター個人ではありません。
その点は平にお詫び申し上げます。
Posted by Luca at 20:31
│
│
2005年12月26日 - 完璧なウイルス対策なるものと、マルウェア対策の誤解
なかなか微妙な記事を見つけたので紹介し、アレコレと石を投げてみる。
特集 あなたは完璧くん？それともダメダメくん？ そのときどうするウイルス感染・前編・（SAFETY JAPAN 2005 [特集]-日経BP社）なる、なかなか近年見ないようなあらゆる意味での傑作を発見した。
この記事は職場での対策ではなく、個人向け・エンドユーザー向けに書かれているようだ。だからそのような視点でこちらも眺める。
まぁじっくりと記事を眺めてみよう。
まず序文。
いったん感染すると、対策ソフトでウイルス自体は退治できても事後処理が大変だ。
感染したとしても検出できない・退治できない場合も多々存在するように思われるんですが。
確かに著者は第四章にて「完璧くん」なるタイプであっても感染する事例を書いている。であるならば第一章の内容は誤解を招くのではなかろうか。
（また第四章まで読み進めなければそのような話題が出てこない点は読者にとって不親切だ）
まぁ、これは記事の構成上の問題なので、いぢらないでおく。
いでよ“安心のあかし”
でもご安心を。実は、あなたのパソコンでこんなメッセージが表示されたら、それは“安心のあかし”なのである。メッセージをよく読むと「見つかったため削除しました」とある。これはウイルスの侵入を水際で阻止したということ。
それは間違いぢゃないよ、そのような狭い解釈では。より正確に書くならば「アンチウイルスソフトによりマルウェアが検出されたそのファイルでは」だな。
しかしこの「水際で阻止」は極めて恥ずかしい状況なのだと、何故に著者は気付かないのだろうか。
同じような「？」感を感じている方を発見したので紹介する。
確かにそうですね、はい。そのような基本的な姿勢は最も大切な予防策であり、最低限必要なリテラシーの一つです。
だがそれ以前の段階であらゆる対応策をすっとばしているような気がするんですが、この記事は。
運用しインシデントへどう対応していくのか、また心構えの部分がですね、激しく大きく欠落している。また何何を導入しろは題目のみで、「じゃぁどうすればいい？」の部分がなぁ。
アンチウイルスソフトの利用についても、この記事はあまりにも稚拙だ。
製品によっては、メーカー推奨のファイル形式のみがスキャン対象なので「全てのファイル」をスキャン対象とするようにしたり、ヒューリスティックスキャンがデフォルトでは最高レベルではないので設定しなおすなどの、「アンチウイルスソフトの使い方の常識」がガッポリと抜け落ちているんですね。
一例として「●あなたは「完璧くん」、それとも「ダメダメくん」」なる欄があるのだが、これがなぁ。
著者はルーターを使っているか否かを安全かどうかの判断基準にしておりますが。より詳しく書くならば、「ルーターでNATを利用し、ネトゲのためにIPフォワーディングを設定する際には注意」ですかね。そしてLAN内部で感染しているパソコンが発生しそれよりネットワーク経由にて感染する場合を想定しなければならないだろう。
他にも第一章にてメール経由感染をわざわざ取り上げるんだから、当然メーラー（Outlook Expressなど）の基本的な設定についての言及が無い点が「？」なのだが。
更には近年は、プロバイダーがエンドユーザー向けサービスとして、受信されるメールのウイルススキャンを提供している例も多数見かけますが。そのようなサービスについての言及は無い。また当然、企業ならばメールサーバーにそのようなソフトは導入されているだろう。
おまけとなるのだが、ファイアーウォールとは何を指すんだろうか。パソコンに個別に導入されるWindows Personal Firewall（Microsoft）やZone Alarmを指すんだろうか、それともブロードバンドルーターのファイアーウォール機能、企業で導入されているプロキシサーバー。
「第四章 そのときどうする感染したかもしれない」、これが激しく違和感を感じる。
著者はアンチウイルスソフトメーカーのシグネチャファイルが間に合わなかった場合、また「カスタムメイドされたようなマイナーなマルウェア」では完璧くんでも感染しその被害を受ける可能性があると言及しているんだが。
これらはまずは「心構え」なり「社員教育」にて対応すべきだし、またWindows OSやメーラーその他アプリケーションの設定にて乗り切るべき部分なのではなかろうか。
その企業の管理者が、怪しい実行ファイルを開いて感染しうるような設定にしていたのがおかしいのだし。社員教育が十分でないオペレーターがその怪しいファイルを開いたとしても感染しないよう・被害が拡大しないように備えるべきなのではなかろうか。
この事件は社員教育だけではなく運用面の失敗と自分は考えてたんですがね。人により評価は様々なものなんですね。
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
2005年12月27日、「言い回し」や「書き様」が剣呑過ぎる部分を修正。
特集 あなたは完璧くん？それともダメダメくん？ そのときどうするウイルス感染・前編・（SAFETY JAPAN 2005 [特集]-日経BP社）なる、なかなか近年見ないようなあらゆる意味での傑作を発見した。
この記事は職場での対策ではなく、個人向け・エンドユーザー向けに書かれているようだ。だからそのような視点でこちらも眺める。
まぁじっくりと記事を眺めてみよう。
まず序文。
いったん感染すると、対策ソフトでウイルス自体は退治できても事後処理が大変だ。
感染したとしても検出できない・退治できない場合も多々存在するように思われるんですが。
確かに著者は第四章にて「完璧くん」なるタイプであっても感染する事例を書いている。であるならば第一章の内容は誤解を招くのではなかろうか。
（また第四章まで読み進めなければそのような話題が出てこない点は読者にとって不親切だ）
まぁ、これは記事の構成上の問題なので、いぢらないでおく。
アンチウイルスソフト以前の問題が
いでよ“安心のあかし”
でもご安心を。実は、あなたのパソコンでこんなメッセージが表示されたら、それは“安心のあかし”なのである。メッセージをよく読むと「見つかったため削除しました」とある。これはウイルスの侵入を水際で阻止したということ。
それは間違いぢゃないよ、そのような狭い解釈では。より正確に書くならば「アンチウイルスソフトによりマルウェアが検出されたそのファイルでは」だな。
しかしこの「水際で阻止」は極めて恥ずかしい状況なのだと、何故に著者は気付かないのだろうか。
同じような「？」感を感じている方を発見したので紹介する。
ぇーっと、まず、件名や差出人で怪しいと思うなら、踏むな。
記事内でウィルス見つかったよん。って言ってるのは、Eicarなのでテストウィルス*1だけど、その時々に流行っているウィルスの使用する件名や、普段英文なメールを送信しない友人が英語タイトルのメールを送ってきているだとか、まったく知らないメールアドレスからのメールは開封前に削除、もしくは、プロパティなどでヘッダを確認すべき。そのぐらいの自衛もしないで、ウィルス対策ソフトに依存していると、パターンファイルが未対応な時に痛い目にあいますよ。
そのときどうするウイルス感染（前編）/SAFETY JAPAN 2005 [特集]/日経BP社（インフラ管理者の独り言（はなずきん＠酒好テム管理者））
確かにそうですね、はい。そのような基本的な姿勢は最も大切な予防策であり、最低限必要なリテラシーの一つです。
いい加減な内容のような気がしてきた
だがそれ以前の段階であらゆる対応策をすっとばしているような気がするんですが、この記事は。
運用しインシデントへどう対応していくのか、また心構えの部分がですね、激しく大きく欠落している。また何何を導入しろは題目のみで、「じゃぁどうすればいい？」の部分がなぁ。
アンチウイルスソフトの設定
アンチウイルスソフトの利用についても、この記事はあまりにも稚拙だ。
製品によっては、メーカー推奨のファイル形式のみがスキャン対象なので「全てのファイル」をスキャン対象とするようにしたり、ヒューリスティックスキャンがデフォルトでは最高レベルではないので設定しなおすなどの、「アンチウイルスソフトの使い方の常識」がガッポリと抜け落ちているんですね。
記事中では題目のみの部分
一例として「●あなたは「完璧くん」、それとも「ダメダメくん」」なる欄があるのだが、これがなぁ。
著者はルーターを使っているか否かを安全かどうかの判断基準にしておりますが。より詳しく書くならば、「ルーターでNATを利用し、ネトゲのためにIPフォワーディングを設定する際には注意」ですかね。そしてLAN内部で感染しているパソコンが発生しそれよりネットワーク経由にて感染する場合を想定しなければならないだろう。
その他諸々
他にも第一章にてメール経由感染をわざわざ取り上げるんだから、当然メーラー（Outlook Expressなど）の基本的な設定についての言及が無い点が「？」なのだが。
更には近年は、プロバイダーがエンドユーザー向けサービスとして、受信されるメールのウイルススキャンを提供している例も多数見かけますが。そのようなサービスについての言及は無い。また当然、企業ならばメールサーバーにそのようなソフトは導入されているだろう。
おまけとなるのだが、ファイアーウォールとは何を指すんだろうか。パソコンに個別に導入されるWindows Personal Firewall（Microsoft）やZone Alarmを指すんだろうか、それともブロードバンドルーターのファイアーウォール機能、企業で導入されているプロキシサーバー。
心構えと技術
「第四章 そのときどうする感染したかもしれない」、これが激しく違和感を感じる。
著者はアンチウイルスソフトメーカーのシグネチャファイルが間に合わなかった場合、また「カスタムメイドされたようなマイナーなマルウェア」では完璧くんでも感染しその被害を受ける可能性があると言及しているんだが。
これらはまずは「心構え」なり「社員教育」にて対応すべきだし、またWindows OSやメーラーその他アプリケーションの設定にて乗り切るべき部分なのではなかろうか。
プロの犯罪者はウイルスを送り込む手口も巧妙だ。くだんの事件では、被害者の通販事業者にクレームのふりをしてメールを送り、「キズのあった商品の写真を添付します」と書き添えてウイルスを添付。これではよほど警戒心を研ぎ澄ましているセキュリティ専門家でもない限り、とっさに開いてしまうだろう。
狙い撃ちされたら一大事（SAFETY JAPAN 2005 [特集]-日経BP社）
その企業の管理者が、怪しい実行ファイルを開いて感染しうるような設定にしていたのがおかしいのだし。社員教育が十分でないオペレーターがその怪しいファイルを開いたとしても感染しないよう・被害が拡大しないように備えるべきなのではなかろうか。
この事件は社員教育だけではなく運用面の失敗と自分は考えてたんですがね。人により評価は様々なものなんですね。
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
2005年12月27日、「言い回し」や「書き様」が剣呑過ぎる部分を修正。
Posted by Luca at 23:22
│
│
2005年12月25日 - TeslaPlus社とPSGuard・WorldAntiSpy、及びこれを狙い撃ちするアドワーズ広告の謎
TeslaPlus.comとのプロローグ
- TeslaPlus社はPSGuard・WorldAntiSpyなどの評判が悪いソフトウェアを紹介している
- Googleのアドワーズ広告にて、TeslaPlus社および関連製品をキーワードにしている企業がある
- 当初は複数の悪質な企業がそれぞれタイアップしていると想定していたが、十分な検証は行えなかった
- 本文は250行程度の長文なので、目が疲れるとお嘆きならば最後のConclusionをざっと読んでもらいたい
最近はウイルスやスパイウェア・Adwareなどを駆除するとの名目で入り込む怪しいBogus wareが話題になっているのだが。これらはグレイウェア、または区分的に場合によっては（詐欺行為との名目で）クライムウェア（Crimeware）になるんだろうか。
（Bogus wareについては、2005年10月18日 - Bogus wareとRogue ware、インチキソフト（Semplice）を拝見願いたい）
以前ブラウザハイジャッカーに感染したユーザーのパソコンに勝手に導入されるとよく報告されているPSGuardについて何となく調べていたらば、ある海外掲示板にてPSGuardとWorldAntiSpyなるソフトウェアの両方がインストールされたとの内容の書き込みを発見した（リンク切れとなっているのでこの場では紹介しない）。
またDesktop Hijacked by PS Guard / Raze Software (SWI Forums)にてはPSGuardの感染及びwww.teslaplus.comへ誘導する表示が出たとのレポートがあった。
先月ふとしたはずみで、待望のteslaplus.comドメインで表示されるページ、http://www.teslaplus.com/search.php?wmid なるURIを発見した。そこではPSGuardと今回のネタであるWorldAntiSpyの2つを紹介しており、何となく興味をそそられたのだよ。
11月23日、このWorldAntiSpyをインストールしたのだが。特に不審な点は無いし、レジストリ内Alexaを検出する点でインチキとは思われず。
（*クリックで拡大）
またGoogleにて検索したのだが、このWorldAntiSpyを検索してもそれほど多くのサイトは見つからず、日本語のページはわずか14件であった。
ただ、以下のようなスポンサーサイトの広告がGoogle検索時に表示されたのが気になり。キャプチャ画像を保存しておいたのだよ。
この時点ではWorldAntiSpyは、McAFEE社とPanda Software社が検出対象としていたのだが。McAFEEがWorldAntiSpy（McAFEE）の検出名にて対応していたものの、詳細情報は無く。
Panda Softwareでは「スパイウェア・アドウェア・その他の手段にてfull versionを購入させようとする」程度の情報があるだけで、実態がよくわからなかった。
（12月24日現在、その他の主要なアンチウイルスソフトメーカーはこれには対応していないようだ）
teslaplus.com・PSGuard・WorldAntiSpyとアドワーズ広告
12月24日。そう、聖夜の夜だ。
独り身のLucaさんは首都圏に行く予定だったのだが、突発的な事情で中止となってしまいまして。時間と暇を持て余す寂しいクリスマスイブとなった。
空しい気分に浸りつつ、何となくネタ帳の未解決ネタを再チェックしてたんだが。
ふっと妙な点に気付いたのだよ、今更ながら。
。。。。。あれ？普通このようなマイナーな「怪しいソフトウェア」をGoogle検索した場合に、このような広告が出るものなのかぁ？
「teslaplus.com psguard worldantispy」の3つのキーワードにてGoogle検索したらば、どこかで見覚えのある広告が表示された。
注意深く試してみれば、「WorldAntiSpy」と「teslaplus.com」の2つが組み合わさった場合に、この広告が表示されるのに気付いたのだが。
「PSGuard」を含む検索にては「www.ScanForFree.com」の広告は「PSGuard Remover」の名称で表示。
リンク先はhttp://www.scanforfree.com/xoftspy2.htm
「teslaplus.com」と「WorldAntiSpy」を組み合わせた検索では、「TeslaPlus.com Remover」の名称で「www.ScanForFree.com」の広告が表示される。
リンク先はhttp://www.scanforfree.com/xoftspy.htm、念のためmhtファイルで保存しておく。
「teslaplus.com」単独では、「URL teslaplus.comに関する情報は見つかりませんでした。」となる。
「WorldAntiSpy」単独では、幾つかのサイトは検索結果として表示されるものの、11月23日に表示された広告は表示されない。
そしてwww.scanforfree.comよりは「XoftSpy」なるソフトウェアがダウンロードできるのだが。
XoftSpy421_137.exe
size=1936440byte
MD5=37a59eb7f8a2994bcfbbdbcdf7335a7e
さて、このXoftSpyのインストーラーなのだが。アイコンをよく覚えておいてもらいたい。
teslaplus.com関連ソフトの検証作業準備
WorldAntiSpyを以前テストした際には、レジストリ内Alexaを検出したが、それ以上の検証作業は行っていなかった。
今回は以下のような実験計画をざっと立てる。
- テストするOSはWindowsXP SP2英語版とする。これは万が一日本語環境下では正常に動作しない可能性を考慮したからだ
- 件出力については供試に耐えうる「ある程度古い」検体を所持していないため、考慮しない。これは2005年12月13日 - マルウェア対策ソフトの件出力及び性能評価、そして「信頼できる製品」なのか（Semplice）でも記述したのだが、「まっとうな」ソフトであっても最新の検体は検出できないのはよくある話だからだ。
- 存在しないマルウェアを検出するのか否か（この点で引っかかれば、確実にインチキと言える）
- RootKit的テクニックは利用しているとは思いづらいので、今回はレジストリハイブファイルを直接開いての検証作業は、手間を省くために行わない。
- Vigilにてネットワークキャプチャし、個人情報等が勝手に送信されないか確認する。
- FileMon（File Monitor）により「本当にスキャンしているのか否か」を監視する。ただスキャン時間計即時には、これを利用しない。
- テストするソフトウェアのインストーラーは、予め他のパソコンよりダウンロードしたものを、テスト機に移し準備しておく（ダウンロード時に何かのマルウェアに感染するのを防ぐため）
さて、テスト機としてVirtual PCにてWindowsXP Professionalを準備。限りなくクリーンな状態である。これで何かが検出されたらば、異常事態か誤検出である。
念のため、以下のレジストリ内Alexa関連サブキーを丸ごと削除しておく。
HKEY_LOCAL_MACHINE\software\microsoft\internet explorer\extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a}
11月23日にWorldAntiSpyを拾ったhttp://www.teslaplus.com/search.php?wmid を開いて、と。
おぉ！増えてる（笑
XSRemover、SpyDeface、WorldAntiSpy、WinHound、PSGuardの5つとなっているではないですか！
とりあえずダウンロード。ファイルのサイズとMD5シグネチャを確認する（なおこのMD5シグネチャの確認はabcdefさんより教わったコツである）
XSRemover_installer.exe（XSRemover）
size=132661byte
MD5=7e965f1b31b71769261a8eb28a18102f
SpyDeface_installer.exe（SpyDeface）
size=134505byte
MD5=850e2e21c0b409b4d598bb1aaab988e1
setup.exe（WorldAntiSpy）
size=3804789byte
MD5=b047ac2129bce50d8b079752a11938c8
WinHoundInstaller.exe（WinHound）
size=2620945byte
MD5=49693fa15155b8b0b4ee5bb8135fd0b9
PSGuardInstall.exe（PSGuard）
size=2547710byte
MD5=46e2e843231912f053380a3e699788c7
XSRemover、SpyDefaceの2つは、極端にファイルサイズが小さい。どうも妙ですね。
WinHoundとPSGuardのインストーラーのアイコンは、前述の「XoftSpyのインストーラー」と同一。不思議ですな。
PSGuardは感染していなくても警告する
PSGuardをインストール。インストール直後よりスキャンが始まるのだが、スキャンに要した時間は52秒。
この時点ではVigilのログには、外部（WAN）への接続は確認できない。
さて、何も検出できなかったのだがスキャン終了時にダイアログが2つ出る。
2番目のダイアログに従い、Intelligent CleanupよりStartを選択すると、随分と激しい内容のダイアログが出て、警告されてしまったよ（笑
Warning!
This Computer is infected with malicious ware, and your system security is at serious risk.
Malicious programs can damage and change important components, which results in unstable system operation, poor performance and loss of valuabledata + irritating popups with porn or search page.
PS Guard doesn't remove viruses and spyware in demo version.
We seriously recommend you to register PSGuard!
つまり「何にも感染していなかった」としても、このPSGuardは「警告！このコンピューターはマルウェアに感染しており、あなたのシステムセキュリティは深刻な危険事態となっている」なる表示が出るのだな。
これは明らかにインチキ、である。
「Click here to register your copy of PSGuard」を押す。
「PSGuard :: Registration」なるダイアログが表示され、更にhttpsにて「https://secure.shuddex.com/?pid=8&aff=0&sub=0」がブラウザで表示される。
Vigilのログではwww.pcsuard.comとhttps://secure.shuddex.com/が関わりがあるのは明らかだ。
再度試してみよう。FileMon（File Monitor, Sysinternals社）を使い監視したが、一応真面目にスキャンはしているようだった。
（*クリックで拡大）
さて、ここで意地悪してみよう。
C:\WINDOWS\system32\partner.txt、またC:\notepad32.exe、C:\divx.exeなる空ファイルを作成し、再度スキャンしてみよう。これはメモ帳を使い新規のテキストファイルを作成し、このような名称にリネームしただけの全く無害のものである。
スキャンの結果、「Infected objects detailed」にこの3つが検出され表示される。
要するにこのPSGuardは、ファイルの中身は一切確認せず、「ある名称のファイルがある場所に存在するか否か」のみをもって「検出」としているようだ。
ちなみに検出名は、以下のようになっていた。
C:\WINDOWS\system32\partner.txt : SearchSquire
C:\notepad32.exe : CoolWebSearch
C:\divx.exe : DivX Updater
大変興味深い現象なのだが、このPSGuardはWorldAntiSpyをマルウェアとして検出する。同じteslaplus.comよりダウンロードでき、並べて紹介されているのにも関わらず、だ。
WorldAntiSpyは正常なファイルをマルウェアとする
インストール直後のデフォルト設定では、Scan depthは「Quick」、Scan priorityは「Medium」であった。この状態ではわずか21秒でスキャンが終了。RegistryはKeys: 137196, Values: 1829、FilesystemはFiles: 197, Cookies: 0、MemoryはProcesses: 17, Module: 17である。
なおDatabaseは239300となっており、随分とシグネチャが膨大なのだなぁ、としみじみする。
スキャン設定を変えてみよう。
Scan depthを「Deep」に変更しスキャンしてみる。11分30秒でスキャンは終了。
「Spyware / malware detected! Your security is in danger!」なる警告が表示される。
（*クリックで拡大）
右下の赤い「REGISTER」がピクピクと心臓の鼓動のように怪しく蠢いており、どうやらこれを押させたいらしい。
押してみると妙なポップアップが出て、またhttpsにてhttps://secure.worldantispy.com/?aff=0&sub=0へ接続される。
だが、ここで個人情報を入力し購入するのは待ってもらいたい。
まずは検出されたC:\WINDOWS\desktop.iniとC:\WINDOWS\system32\desktop.iniの詳細情報を見てみよう。
Vendor: Bagkeys
Vendor description: Bagkeys is a monitoring utility that captures all keystrokes typed and stores the information into a log file for later retrieval.
Type: File
Category: System Monitor
Name: C:\WINDOWS\system32\desktop.ini
Description:
この2つのdesktop.iniファイルは元々Windowsに備わっているものであり、WorldAntiSpyで警告されたキーロガーでもモニタリングユーティリティでもないのだよ。
desktop.iniファイルについて、Microsoftは以下のように解説している。
Desktop.ini ファイルには、ユーザーがファイル フォルダおよびそのコンテンツを参照する際に、それらが表示される方法に関する情報が保存されます。
Desktop.ini ファイルは、フォルダを表示するためには必要なく、すべてのフォルダに存在するものではありません。
Desktop.ini ファイルがフォルダに存在している場合、Desktop.ini ファイルにはそのフォルダにアクセスしているプログラムによって含まれる情報が異なります。たとえば、Windows Explorer では、フォルダを示すアイコンの名前および場所、マウス ポインタをフォルダ上に配置する際に表示されるヒントのテキスト、またはフォルダに含まれるファイルを表示する方法を保存するために Desktop.ini が使用される場合があります。
“Desktop.ini” ファイルとは何ですか?（Microsoft）
このdesktop.iniファイルが何か汚染されているのだろうって？いや、そうではなかったのだ。それぞれのdesktop.iniファイルをメモ帳にて開くと、その中身は空であった。
繰り返しになるが、2つのdesktop.iniファイルを悪質なものとして検出したのだが。ここで検出されたファイルは全く無害なものであり、なおかつWindows XPなら当然備わっているだろう。
もちろんこの製品を製造したメーカーがリリース前にテストした環境にても存在するだろう、当然。
そのような初歩的なミスをメーカーが犯し偶発的なミスにより誤ったシグネチャファイルを備えたバージョンが公開され、結果として誤検出させるとは考えづらい。
結論としてこのWorldAntiSpyは、所謂インチキであり。存在しない脅威をでっちあげ、ユーザーの不安を煽っているのだ。
SpyDefaceのテスト結果
このソフトウェアのインストーラーが極めて小さいサイズであった点は、不審だったのだが。インストール時にwww.spydeface.comより各種ファイルをダウンロードしていると気付き、謎が氷解した。
インストールし、デフォルトの状態でのスキャンが終わった直後の状態である。
（*クリックで拡大）
デフォルトの「Quick Scan」にてわずか16秒でこれだけのファイル及びレジストリをスキャンできるなんて、凄いですね（笑
今度はFileMonでキャプチャ開始直後に、このSpyDefaceによるスキャンを開始。スキャン終了直後に手動でFileMonのキャプチャを停止したんだが。
ログを眺め、一応ファイルの有無はチェックしてるんだ感心感心。とうなってたらばですね。
FileMonのログの行数は21923。もちろんこの中にはSpyDefaceのスキャンにおけるQUERY INFORMATIONとは関わりが無いものや、ファイル・フォルダを開き閉じた重複分も含まれるのだが。
SpyDefaceの「SPYWARE SCAN DETAILS」では「Filesystem items inspected: 24579」。はて、数が足りないような。
その他の機能として、Tracks eraserなどがある。これはCookieやInternet Explorerの履歴、WindowsXPにて最近利用したプログラムのリストなどだ。
「Select all」を選択し「Erase selected tracks」を押すと、いきなり購入を促す画面が出た。この機能は体験版としては利用できないらしい。
SCAN OPTIONより「Full system scan」を選択しよう。スキャン開始。しかし20秒で終了する。
スタートメニューよりアンインストールを試みる、のだが。普通にアンインストールでき、特に不審な点もない。またブラウザが開き「アンインストールした理由は何ですか？」とのアンケートが表示されるが、これは回答せず閉じても問題は無かった。
唯一不審な点として、インストール時にユニークなIDを割り当てる点だ。この末尾の数字はインストールを繰り返すたびに上がっていったので、何かの目的で利用されているのだろう。
XSRemoverはWorldAntiSpy.com製品だった
インストールして気付いたのだが、これは先ほど利用したSpyDefaceと妙に似ているのだよ。スキャン開始時の「Prepare can..」の表示やスキャンオプションの個別の項目は同一である。
Vigilのログを眺め、驚いたのだが。これも先ほどのSpyDefaceと同様、インストール時にhttp://www.xsremover.com/get_lic.php?action=get_id より個別のIDを送信されていたのだが、そのIDの数字が先ほどSpyDefaceで得たIDと極めて近いのだな。理由は不明だが。
（*クリックで拡大）
デフォルトではSCAN OPTIONSは「Quick scan」であるが、わずか17秒で終了した。
「Full system scan」を実行。これも17秒で終了する。
またVigilのログを再チェックし気付いた点なのだが。XSRemoverインストール時に、http://www.xsremover.com/に接続しているのだが、それはまぁ良いだろう。
更に不審な事に、インストール直後に起動しスキャンが開始すると、http://www.worldantispy.com/.s/xsremover/に接続しているのだな密かに。このWorldantispy.comはつい先ほどテストしたばかりの、インチキソフト配布元ではないか。
インストールの度にVirtualPCのゲストOSを初期化しているので、前回WorldAntiSpyをテストした際に何かが残っていた可能性はありえない。
WinHoundのテスト結果
WinHoundはインストーラーのアイコンが前述のPSGuardと同一である点で、大いに期待できるソフトウェアである。
起動時に表示されるスプラッシュ画面、これがあまりにもカッコイイので、驚く。感動したので切り出して紹介する。
初回スキャン後に、妙なダイアログが出たのだが。「Microsoft Internet Explorer」？何故にWinHoundによる表示なのに、Internet Explorerが表示したように装うのだ？
大体このソフトウェアは、メニューがどこにあるのかもわかりづらく、大変操作性が悪いように思われる。
（*クリックで拡大）
一番下の「Back」を押せばConfigurationが表示されるものの、スタート時に起動するか、Scan priority、Scan depthと極端にシンプルな構成である。
Scan depthのデフォルト設定「Quick」より「Deep」に変更し、スキャンしてみよう。7分8秒後、スキャン終了。結局何も検出されなかった。
結論なのだが、このWinHoundのテストにては不審な点は見つからなかった。唯一不審な点は、これが同じサイトにて紹介されているWorldAntiSpyを、マルウェアとして検出する点のみだ。
2005年12月29日追記事項
Windowsメタファイル（WMF形式）の脆弱性を利用した悪質なトラップが存在するらしい。これは現在の段階で全てのパッチを導入しているWindowsXPであっても被害を受けるらしい。
XPなど複数のWindows OSに深刻な脆弱性、“0-day exploit”も登場（INTERNET Watch）
SANS Institutの解説中に、WMFファイルを利用したトラップによりこのWinHoundをインストールさせられるサイトの存在が明記されている。
偽アンチスパイウェア/ウイルスプログラムと明記されているようだが、どのような点がfakeなのだろうか。
The HTML file runs another WMF (Windows Meta File) which executes a trojan dropper on a fully patched Windows XP SP2 machine.
The dropper will then download Winhound, a fake anti-spyware/virus program which asks user to purchase a registered version of software in order to remove the reported threats.
Windows WMF 0-day exploit in the wild (SANS)
XoftSpyのテスト結果
いよいよ本命である。これはGoogleにスポンサーとしてアドワーズ広告を表示させている業者であり、不思議な事にPSGuard、WorldAntiSpy、teslaplus.comの3つをその登録キーワードとしている。
XoftSpy421_137.exeのインストーラーはWinHoundとPSGuardのインストーラーとアイコンが同一なのも気になるのだが。
まずはXoftSpy 4.21をインストールしてみよう。。。。。。。なんか先ほどまでと、雰囲気が微妙に違う。
Vigilのログではhttp://www.paretologic.com/xoftspy/coreupdate/XoftSpy421.zip、http://www.paretologic.com/xoftspy/update/database137.zipを確認しているようだ。
（*クリックで拡大）
初スキャンは16分で終了。何か1つ検出されていたので、Object Detailsより詳細情報を見てみよう。
えーっと。実験中にWindowsの自動更新が動くと面倒なので停止させていたのだが、それをマルウェアがよく改変するレジストリとして検出したらしい。いや、これって別に検出し製品を購入させるだけのものなんですかね。
Removeを押すとRegistrationが開くのだが。どうやら「Get Registration Code」を開かせたいらしい。これを押すと「http://www.paretologic.com/xoftspy/purchasereg.asp」に接続され、Home License (one computer)$39.95などの料金が表示される。
今回のテストにては、不審な点は特には見つけられなかった。残念。
Conclusion
- teslaplus.comは5つのセキュリティ対策製品（Anti Spyware Soft）を紹介しているが、それらの幾つかは「共食い」し、同じページよりダウンロードする他のソフトをマルウェアとして検出した。
- Googleのアドワーズ広告にてteslaplus.comとその関連製品を目の敵としている、www.scanforfree.comは特に不審さは無い。また互いに何か繋がりがあるのではと期待したものの、証拠は見つからなかった。
- www.scanforfree.comよりダウンロードした「XoftSpy」は、不審な点は存在しなかった。
- PSGuard、WorldAntiSpyはそれぞれBogus Ware（インチキソフト）であり、検出された存在しない脅威を解決するためにレジストするよう要求した。
- XSRemoverはWorldAntiSpy社の製品であった。またSpyDefaceとほぼ同一のソフトウェアであったが、SpyDefaceはWorldAntiSpy.comへは接続しなかった。
Posted by Luca at 15:48
│
│
2005年12月19日 - hoge.comとexample.com、RFC2606
hoge.comって何だ？
よくどこかの質問掲示板やフォーラム中にて、とあるドメインの一例として「hoge.com」「hoge.net」がやりとりの中で用いられるんですが。
一例としてコマンドプロンプトよりnslookupを行うに当って、このwww.hoge.comを、とか。
whoisにてhoge.comを調べれば、実在するドメインであるのは即座に判別できるし。またGoogleにて「hoge.com」を検索すれば「"hoge.com"を含むページの検索」にて相応の数のサイトが利用している現状には気付くとは思われます。
またhttp://hoge.com/なるURIは、ちゃんとそのようなサイトが存在し、閲覧できるんですね。
これって何なんですかね。
自分はそれほどネット歴は浅くは無いんですが。何故にこの「hoge」が使われるのかがわからず。何故なんですかね？
どなたか教えて下さい。
example.com、example.netとは
RFCにてはこのような「ある一例」として文章中に記述する「仮想の」ドメインは、example.com、example.net、example.orgなどを用いるようにと記載されている。
Reserved Top Level DNS Names 最上位 DNS 名の予約
hoge.comに限らず。kiken.comとかadult.comとかwana.comならどうなんだろうか。
やりとりの中で何気なく書いたドメインが実在した場合、ひょっとしたらばそれは実在するドメイン取得者への信用毀損になるやもしれないし。時にはそのような偶発的な書き込みを期待した方が取得したドメインを、意図せずにリンクするだけになるような気がする。
ふっと思いつき、Google検索したんですが。
�睫攅生�氏がブログ中にて全く同じ話題に触れているのを発見したので、紹介する。
例示用には実在しないドメイン「example.com」等を（高木浩光＠自宅の日記）
と言う事で。とりあえずこのBlogにてはドメイン名を例示する際にはexample.comを使っているのです。
ほげ学、なるもの
2005年12月29日追記事項
mashさんよりこのようなサイトを紹介していただいた。
ほげを考えるページ
素晴らしい。。。。。。
言われてみれば古い記憶の中では、ジャイアンの歌は「ほげー」だったような記憶がある。今度機会があれば、漫画喫茶で確認してみよう。
Posted by Luca at 21:53
│
│
2005年12月15日 - 無料アンチウイルスソフトに関するレポート結果の恣意的誘導
レポートや統計調査の数字を読み解くテクニック
よく雑誌やテレビでの読者アンケートや街灯アンケートの結果、また調査会社によるレポートなどを、その背景まで考えずにうわべのみを眺めまともに信じ込ませる試みがあるんだけど。
そしてその結果をじっくりと検討もせずに転載するような、大手企業のニュースポータル（Japan Internet Com、Yahoo!Japanやその他）も存在したりして。
昨日のJapan.internet.comによるアンチウイルスソフトに関する記事に、あまりにも妙な部分があり引っかかっていたんだけど。これをそのまま転載・紹介し、何ーにも考えない企業を複数発見した。こちらはただ「うーむ」、などと唸っているのです。
これらは契約している企業のネタをただそのまま転載しているだけなのやもしれないんだけど。相応の大企業なんだから、編集部内部で相応のチェックを経ているはずなんだけどな。
元ネタはウイルス対策ソフト、有償でも無償でも効果は同じ!? （Japan.internet.com デイリーリサーチ）なんですが。以下この内容を引用し、話を進める。
母集団よりのサンプリングの段階で恣意的な予感が
統計学については、自分は仕事の上で年度末によく頭を悩まされるんですが。正直な独白としてそれほどの知見は無いし、ここでマーケティング論まで含め一席ぶつのは無理があって。自分の知見が及ぶ範疇で説明する。
まずこの記事中での調査は、アンケートの対象を抽出する段階で明らかにおかしいのだよ。この記事がどのような層に対してアンケート調査を行ったのか、それからまずはじっくりと眺めてみよう。
2005/12/13 20代〜60代の、現在自宅の PC で無償のウイルス対策ソフトをインストールして使用している、全国インターネットユーザー300人。
全体300人のうち、過去に有償のウイルス対策ソフトを使った経験のあるユーザーは66.0％（198人）。
さて、この段階で何がどうおかしいのか気付かなかったならば、君の日頃の情報解析力はヤバイですよ。
（ムッと腹を立てず、まぁじっくりと最期まで読んで下さいな）
まずアンチウイルスソフトは、（1つのパソコンにて）複数の製品を導入し運用すれば、OSが起動しなくなったり、また頻繁にフリーズするなどの不具合が生じるものである。某アンチウイルスソフトはインストール時に他社製品がインストールされている（もしくはその残骸が確認）ならば、わざわざ警告を表示するほどなのだな。
だからユーザーは「1つの」アンチウイルスソフトのみを導入しているだろう、大抵の場合。
例外として常駐型・非常駐型を併用したり、またアンチウイルスソフトとその他のスパイウェア対策ソフトなどを併用している方も、存在はするとは思われるんだけど。そのようなパソコンにて製品間での競合による不具合が生じるのかどうかは、この際は関係が無い話なので放置する。
まずこのようなアンケート調査を行う場合、何百・何千万ものユーザーにアンケートを行うのは、費用や労力の面で無理がある。そこで「母集団」より何パーセントかの割合で、「一部」のユーザーを抽出し調査を行う（サンプリング、抽出）。
母集団をどのような層とするのか、それは一瞬悩むのだが。まぁこんな感じになる。
- パソコンを利用している全ての人々
- アンチウイルスソフトを利用した経験がある、全ての人々
- 今回の記事に掲載されたような、「無料アンチウイルスソフトを利用しているユーザー層」
- 特定の製品を利用しているユーザー
上から下へと順繰りと、母集団が小さく・そして期待できる回答が偏向していくのは理解できると思われますが。
（母集団=実際のユーザーの数）
調査の結果に偏りが生じないようにするためにサンプルサイズを大きくしたとしても、サンプリングの段階で抽出する母集団が既に偏った層であるならば、その調査結果は普遍的なものではなく「特定の層はこう考える」となる。
（サンプルサイズ=アンケート調査を依頼されるユーザーの数）
蛇足だが、アンケートの手法によりある程度結果を操作するのも可能だ。
面接形式と無記名アンケートでは、「タバコのポイ捨てをどう思いますか」「とある政党を支持しますか」と聞きまくった結果は、随分と変わるだろう。
さて、ここで記事全体を再度眺めてみようか。
この記事は要約してしまえば、以下のような内容となる。
- アンチウイルスソフトは、無償（無料）であっても有料であっても大差無いと感じるユーザーが多い
- 理由は不明だが、参考記事としてキングソフト社の「キングソフトインターネットセキュリティ2006」をわざわざ別格扱いで掲載している
- キングソフトインターネットセキュリティ2006は、最近日本国内に紹介されており、無償提供サービスにて知名度を広げるマーケティングを行っている
言ってもいいですかね？（細木数子口調で）
この記事は結果として、キングソフトインターネットセキュリティ2006、もしくは「無償・無料」ソフトウェアを万歳三唱で薦める目的で書かれた、極めて中立性を欠く御用記事に過ぎないのだ。
それを見抜けなかったならば、このようなソフトウェア関連記事を理解・解釈するだけの能力なりリテラシーの有無とは別次元の問題として、日々日頃眺める新聞や雑誌やその他媒体の記事を毎回鵜呑みとし、時に騙されているのだろう。
もしもこの手の調査を行うとしたらばですね、以下のような層に対してアンケートを行う必要があるのだよ。
- パソコンを利用している全ての人々より無作為抽出
- アンチウイルスソフトを利用した経験がある、全ての人々より無作為抽出
じゃなければ、この記事のような「有料ソフトウェアはダメダメ」とか「無料サービス万歳」な結果が自然と導き出されるのは、誰がどう見たって明らかなのだ。
そしてこの記事中では、さりげなーく（微妙にわざとらしく）特定の製品について言及している。
これってその製品の無償提供サービスを「推奨」する目的で作成された、御用記事に過ぎないのだな。
見方を変えれば、わざわざこのような製品を宣伝する目的で、意図的に歪んだサンプリングによるアンケート調査の結果をまんまレポートし公表したとも言える。
何が言いたいのかわからないって？OK、わかった。
じゃぁ君にも理解できるよう、メチャクチャ噛み砕いてわかりやすく解説しよう。
「ブランドもののバックをクリスマスのプレゼントで期待するか？」そんな女性向けアンケートがあったとしよう。
アンケートに答える方々を、その辺の街中を歩いている女性全てとするのか、またブランド物を扱う店の店内で行うのか。その辺りは調査会社の良心なりを信じるしかないのだが。
それでその得られた結果は「日本国内の全ての女性を代表するのか、またブランド物に嗜好性が高い女性の意見なのか」を操作できるだろう。
そこに「今年のグッチはいい感じ」との、アンケート結果と関連の無い話を付け加えるとする。
さぁ、どうだ！
つまりこの記事は、予め対象とするサンプルを恣意的に選ぶ事により「調査会社が期待できるような結果を得た」のだな。
そして、とどめとして無償提供サービスを行っている某社の宣伝を「妙な形で」後押しした、と。
現状として
アンチウイルスソフトには有料なもの、無償なもの、無償なのだが将来的には有料版を購入するよう促すものなどが存在する。
この場では具体的にどの製品がどうなのかなどは語らないんだが。
無償・無料なものは、有料サービスを宣伝させるための「宣伝」に過ぎないのではなかろうか。有料製品の体験版は機能が制限されているのはよくある話だし。
また無料のアンチウイルスソフトは、件出力が極めて劣るものも存在する（ここでは具体的製品名は述べないが、気になるならばGoogleか何かで検索して自分で調べてもらいたい）。
また一般的な傾向として、無料・無償製品は十分なサポートが期待できない場合もあるだろう。
Posted by Luca at 21:35
│
│
2005年12月14日 - Soberウイルスの謎
Soberウイルスの不思議な挙動
先月末の話なのだが。2年以上もの間活動し多くの亜種が出現しているSoberウイルスの感染数が、かなり拡大しているそうだ。
FBI や CIA からのメールを装う Sober-Z ワームが出現（Sophos）
Sober-Z ワーム感染の急速な広がりに関する最新ニュース（Sophos）
数日前、このSoberウイルスがアップデートする際に利用するサイトのURIの推定に成功したとの記事があったのだが。
フィンランドのウイルス対策企業F-Secureは米国時間8日、同ワームが利用するアルゴリズムを解析し、特定の日にワームが確認するサイトの正確なURLを算出できるようになったと述べた。
Soberは、乱数を使ってURLを生成するアルゴリズムを利用している。こうしたURLは日ごとに生成されるが、それらのうちの99％は存在しない。（中略）だが、ウイルス作者は任意の日に用いるURLをあらかじめ算出しておくことができ、全感染マシン上で何かを実行しようと考えたときに適切なURLを登録して、プログラムをアップロードする。
2006年1月5日の攻撃は防げるか--ウイルス対策企業が「Sober」のアルゴリズムを解析（CNET Japan）
原文はHow Sober activates（F-Secure）なのだが、CNET Japanでの和訳はほとんど内容は同じである。
以前より何となく不思議さを感じていたのだが、このSoberウイルスのユニークな点は、NTPサーバーに接続し時刻を更新させようと試みる点だ。何故にわざわざ独自に時刻合わせを行う必要があるのだろうか？パソコンの時刻設定が1秒や2秒遅れていたって、別に深刻な問題を生むとは思われないんだが。
またSoberウイルスは感染したパソコンのネットワーク設定にて登録されているものとは別のDNSサーバーを利用する。別に感染者の職場のDNSサーバーでも、OCNやODNなどのプロバのDNSサーバーでもいいじゃないか、と。
何故なんだろうか。
あくまでも思いつきに過ぎない仮定なんだけど。これはSoberウイルスがアップデート目的で利用するサイトを、誰かが突き止めようとする試みを阻害するのが目的なのではなかろうか。
なお正直に書いてしまうのだが。自分は、NTPサーバーと外部のDNSサーバーへの接続を妨害した場合、Soberウイルス感染マシンがどのように振舞うのかを実際に観察はしていない。いずれ機会があったらばチャレンジしてみたいので、いい課題として残しておく。
Soberウイルスは何故Botではないのだ？
またこのSoberウイルスは、今流行りのBotではない。Symantec Security Response - ウイルス辞典よりsoberで検索したのだが、Bot活動を行う亜種などはリストアップされていないのだ。Botネットワークを構築した方が、金銭的に「おいしい」だろうに。
今時のBotはスパムメールの送信やいずこかのサイトへの攻撃などを目的としており、このBotネットワークを「レンタル」し利益を得ているグループも存在するようだ。
この点について面白い解説を見つけたので、引用して紹介する。
●MyTob対Sober
これを見ればMyTobの変種作成者の戦略がどんなものであるか、よくわかります。彼らはアウトブレイクのインパクトを巧みにコントロールすること、botnet上で悪さをする感染済みシステムの数を一定数に保つこと、このマルウェアについての宣伝が最小限となることを望み、不法で金銭を目的とした活動について、FBIが注目することを避けたいという意図は明らかです。
その一方、Soberのアウトブレイクは激しく、突然で、超大規模なものでした。
さて、機能の面でSoberとMyTobの主な違いは何で、それがどのように散布の戦略に結びついているのでしょうか。その答えはbotです。SoberはMyTobと違い、botを埋め込まない数少ないマス・メーラーで、それゆえ金銭的に「おいしい」botnetを作成することを目的としたものではありません。
フォーティネット社ウイルス対処状況レポート
マルウェアを用いた事業戦略（か？）の点においてSobarは、Botネットワークを作成するようなマルウェアとは目的のようなものが異なり、従来のようなマスメーリングによる大量送信での感染者拡大そのものが目的なのだろうか。
このSoberは単純に、感染者数の増大を目的とした愉快犯なのだろうか。
Posted by Luca at 22:24
│
│
2005年12月13日 - マルウェア対策ソフトの件出力及び性能評価、そして「信頼できる製品」なのか
インチキソフト、なのでは？
2ヶ月ほど前に海外フォーラムを閲覧していると、「勝手にソフトウェアをインストールされた」との投稿を複数発見した。このまま見過ごせばこれは、あまりにもありきたりな相談として見落としていたのだが。
たまたま暇で時間が余っていたので、ふと思い立ち。それらのソフトウェアをインストールしたんだが。
。。。。。。。。。。笑ってしまいました。これらってEICARやAlexa（Alexa Toolbarではなくレジストリ内Alexa）を検出できるじゃないですか、しっかりと（笑
その後はスキャン後に出る「その製品を購入しなければ駆除できないぞ」との表示や、OSを再起動するたびに何度も出る購入を強要するポップアップ広告のうっとおしさを笑いつつ、VirtualPCの変更を削除しましたとさ。
一応それらの製品についてのネット上の評価を調べれば、主要なアンチウイルスソフトメーカーにより検出対象とされていたり、またブラウザハイジャッカーの感染時に勝手にインストールされたとの相談例を複数発見し。「やっぱり怪しいソフトウェアだったんだなぁ」としみじみしたんですがね。
そこでですね、ふっと考えたんですよ。
「明らかに怪しい」、「勝手にインストールされた」、「ブラウザハイジャッカーによりユーザーにマルウェアを導入するような悪質業者と提携している」ようなセキュリティ対策ソフトウェアであったとしても、それがある程度の（それが最低レベルであったとしても）のマルウェア対策機能を備えていたとしたらば、インチキと言い切れるんですかね？
これらの「信頼できない・インチキと決め付けるための」判断基準となる指標のようなものをあれこれと練ったんですが、なかなか自分の中でうまく整理できず。
とりあえずはアンチウイルスソフトやアンチスパイウェアソフトの性能・信頼性の指標を幾つか取り出して考えてみる事とした。
なおここで議論を進めるに当って、この場合の「信頼できない・インチキ」とは、以下のようなソフトウェアを指すと定めた上で話を進める。
- 本当にマルウェアに対応しているのか否か
- EICARやAlexaやトラッキングクッキー（またはそれらのいずれか）を検出したとしても、その他の主要なマルウェアを検出できないものは「ダウト（疑わしい）」に含める。
- 「ダウト」のうち、それらは製品の機能面での不十分さなどの瑕疵によるものであると考えられた場合、「信頼できない・インチキ」ではなく「性能が十分とは言えない製品」として扱う。
また「信頼できる」と「インチキ」は同義ではない。だから以下の話は「製品の性能が至らない」との視点で扱う事とする。
EICAR Standard Antivirus Test Fileによるテスト
EICAR Standard Antivirus Test Fileはアンチウイルスソフトを判別するための、テスト目的に利用される「安全な」ファイルである。
これによる具体的なテスト結果として、■ EICARテストファイル ダウンロードテスト ■（2006年度版）（Palm84）を推奨する。またその解説そしてeicarテストウィルスについて（Firewallと森で遊ぼう）なる詳細なサイトがあるので、是非とも参照していただきたい。
上記の解説中にもあるのだが、アンチウイルスソフトの設定次第、例として圧縮ファイルをスキャンするか否かなどにより検出されない場合もあるのだが。その辺りは各自工夫してもらいたい。
主要なアンチウイルスソフトメーカーはこのEICARに対応しているのだが、これが検出されればアンチウイルスソフトが「正しくインストールされ・そして（少なくともEICARを検出する目的としては）機能している」と考えられる
このEICARが「アンチウイルスソフトが正常に動作しているのか否か」との指標になると考えているユーザーも存在するようだが、しかしそれは正しい解釈ではないだろう。
配布元のEICAR Standard Antivirus Test File Information（
つまりこのEICARが検出されたとしても、以下のような可能性によりマルウェア（この場合はウイルスを指す）を検出できない可能性の存在は否定はできないと念頭に置いていただきたい。
- EICARを検出したとしても、エンジンやシグネチャファイルが対応していないマルウェアは検出できない可能性はある。
- マルウェアに感染し、その破壊活動のためにマルウェア本体及びその関連ファイルが検出できない場合もあり得る。
- アンチウイルスソフトメーカーにより「これはマルウェアではない」と判断されたソフトウェアは、検出対象から外されているだろう。
更には、アンチウイルスソフトメーカーの不都合なり不具合にて、このEICARが検出されない場合もあるだろう（3年ほど前に某有名メーカーであったような記憶が）。
それらの理由にて、「EICARを検出できない」アンチウイルスソフトであったならば、それは少なくともダウトであるのは確実ではあるものの、インチキ呼ばわりするのは早計なように思われる。
そして今回の「インチキか否か」を考える上では、EICARを検出できる=インチキではない、と決め付けるのもまた早計である。
「大多数が該当する脅威」の検出とスパイウェア対策ソフト
レジストリ内Alexaについて、Bogus wareとRogue ware、インチキソフト（Semplice）に追記したんですが。
このようなWindowsXPであればどれでも存在するレジストリエントリをスパイウェアとして検出したとしても、それはスパイウェア対策製品が「信頼できる」とは限らない。
またトラッキングクッキー。Internet Explorerにて複数のサイトをブラウジングしていれば、トラッキングクッキーなんてよく作成されるものですが。
（トラッキングクッキーはスパイウェアか否かについては、ここでは議論する必要性を感じないので言及しない）
ならば他のスパイウェアなりアドウェアには全く対応せず、これらにのみに対応したような製品が存在したとすれば、どうなんだろうか？
そのようなソフトウェアであった場合は、迷わず「インチキ」と決定しても良さそうな気がするのだが。
多少判断が難しいので、議論は後に譲る。
メーカーが製品及び関連情報をほとんど公開していない
検出数が素晴らしく多いと謳われているソフトウェアであっても、その製造・販売元のサイトにて、検出対象としているマルウェアの情報やリストが公開されていない・また極めて情報が貧弱な場合がある。
よくレポートされている・されうるだろう不具合への対処方法などが全く公開されていないスパイウェア対策ソフトなどもあるようなんだが。
これらの技術情報の公開不足を元にその製品がインチキと決めつけるのは、十分な理由とは言えないだろう。
ただしユーザーの信頼を得る上で製品の情報を公開するのは、マーケティングの面でも信頼醸成の面でも必須なのは確かである。それをサイト上より欠くのは、何かがおかしい。
だからこの場では「少なくともLucaさんの私見では、その製品が十分には信頼できるとは考えない」とトーンダウンしておく。
マルウェアの検出力
これはユーザーにとっては、極めて切実な問題なんですが。
アンチウイルスソフトメーカーのヒューリスティックスキャンにより検出できないようなマルウェアであった場合、アンチウイルスソフトの検索エンジン・シグネチャファイル（定義ファイル）を更新すれば検出できる場合もあるし。またメーカーがその検体を入手していないようなマルウェアであれば、検出できない場合もあるだろう。
記憶に留めなければならない部分として、全てのマルウェアにアンチウイルスソフトメーカーが対応できているのではないとの現状も鑑みなければならない。極めてマイナーなものや感染が確認される国が割りと限定されているようなマルウェアである場合、シグネチャファイルの増大を防ぐ目的にて対応しないメーカーもあるだろう。
また現在ではありえないような古すぎるウイルスは、テストに利用すべきではない。シグネチャファイルの増大を避ける目的で、アンチウイルスソフトメーカーは不要と判断したマルウェアへのシグネチャは削除しているのだ。
この場合、著名かつ十分な数の被害者を過去に生んだ・そこそこ古くて「最新のシグネチャファイルで対応できていないはずがない」検体でのスキャン結果と、最新の（または極めてマイナーな）マルウェアへのスキャン結果は、上記の理由にて単純に比較し指標とすべきではないように思われる。
またアンチウイルスソフトなどが対応していないような変わった・マイナーな圧縮形式（この場合はPackerではなくArchiver）を利用してのスキャン結果は、どうなんだろうか。
それは時には単純にそのアンチウイルスソフトが「ある圧縮形式に対応しているのか否か」の指標であり、「あるウイルスに対応しているのか否か」を示すものではない可能性は存在する。必要に応じ解凍してからテストする必要がありそうな予感がする。
まぁ十分有名なウイルスが送信するようなファイルであるならば、そのような心配は不要なのではなかろうか。
この場で中間決算的結論になるのだが。アンチウイルスソフトメーカーは、主要なウイルスの検体は互いに交換しあって協力しているため、ある程度の感染数が報告されているようなマルウェアである場合は、検出されなければ何かがおかしい可能性は存在する。
さて、この場でのお題は、「どれだけ信頼できるのか」ではなく、「どれだけ信頼できないのか」を定量的に把握する試みである。
このような指標を求めるに当って、あるアンチウイルスソフト（またはスパイウェア対策ソフトウェア）が「完全にバチもん」か否かを判別するためには、以下のような検体を用いて調査する必要があるのではなかろうか。
- 「ある程度」古いマルウェアを利用しテストしなければならない。
- 十分な数の感染者を生んでおり、メーカーがこれを見逃しているとは考えられないものを利用する必要がある。
- テストに当って個別に圧縮・pack・cryptせず、マスメーリングなどにより配布されるファイルそのままを扱わなければならない。何故なら「そのような圧縮形式に対応はしていない」とか「スタティックスキャン（手動スキャン）で対応できなくてもヒューリスティックスキャンでは検出が期待される」との言い訳を阻止する目的だ。
Conclusion
信頼できるのか否かは、そのソフトウェアの性能だけではなく、企業イメージやその他の要因により左右されるだろう。
そして件出力のレベルなりにより「インチキ」と決め付け断定できるソフトウェアは、実際にはそれほど多くはないように思われる。以前も書いたのだが、これは利用するユーザーの設定がおかしい可能性を否定できないし。またその企業が「まとも」な企業であったとしても、その技術力が不十分であるためなのやもしれない。
そうは言ったものの、あまりにも件出力が低いソフトウェアは、ユーザーに不安を感じさせるのは紛れもない事実である。
結局のところ即座にインチキ呼ばわりできるのは、ブラウザハイジャッカーに感染したユーザーが強制的にインストールされるような怪しいスパイウェア対策ソフトで、存在しないマルウェアをスキャン結果に表示するようなものだろうか。
もちろんこの場合、マルウェアの機能によりレジストリエントリや個別のファイルが隠蔽されているのか否かを検証する目的で、検出されたレジストリエントリやファイルが本当に存在するのか否かを、ハードディスクを引っこ抜き他のパソコンで検証する必要があるような気がする。
Acknowledge
この記事を書くに当って、yassyさんにはEICARによる評価についてアドバイスをいただきました。この場にて謝辞を申し上げます。
Posted by Luca at 20:20
│
│
2005年12月12日 - ディレクトリ形式URIサイトへのトラフィックを阻害する攻撃
URIの不思議
SEO（Serch Engine Optimization：検索エンジン最適化）、SEM（Serch Engine Marketing：サーチエンジンマーケティング) 的テクニックに詳しい方ならば、既に実感しているんだろうけど。
プロバイダーやフリーのWebスペースと契約し、個人サイトなりBlogを立ち上げるとして。その際にURIは以下の3のうちいずれか（もしくは複数）となる。
- ディレクトリ形式（http://www.example.com/username/）
- サブドメイン形式（http://username.example.com/）
- 独自ドメイン（http://www.何ちゃら.com/
一例として某プロバのユーザーがWebサイトを立てれば、そのURIはhttp://username.プロバのドメイン/」となる。
これはディレクトリ形式と呼称される。
さて、Googleなどの検索エンジンにて特定のキーワードを検索してみよう。
表示された結果には同一ホスト名（www.example.com）中のページの1つ、稀に2つしか表示されないのだな。だからアクセスアップを目指すならば、ブログもWebサイトも、サブドメイン形式・もしくは自分でドメイン名を取得し独自ドメインを利用したURIとするよう、SEO的には推奨されているのだ。
興味深いものの、なんかどこかで見たような記憶が
はてなでのブログの最終ページを見た方ならば、こちらの旧ブログがはてなキーワードと全力でカブり。そのためGoogleなどの検索エンジンから事実上「抹殺」されたとの記述は知っているとは思われますが。
何だかこれと同様の「攻撃」の話が最近あったんですね。で、とある方へのメールを書いていてその話を思い出したので、簡単にメモ目的に記載する。
さて、具体的な攻撃（？）の手順は、極めて簡単でシンプルである。
（そして合法的である）
攻撃対象のサイトと同じプロバ・業者と契約し、相手がhttp://www.example.com/recipient/のURIならば、同様のhttp://www.example.com/attacker/のURIを取得する。
後は簡単。
攻撃対象のサイトと全力でかぶる内容を、SEO的テクニックを駆使して書けば良い。
（実行するに当っては、相応にSEO的テクが必要となるような予感はあるが）
他人のサイトを丸写しした盗用サイトの例として、盗用サイト検証のような例もあるのだが。相手のサイトの内容を丸ごとコピーすれば、国内では著作権法、また米国ではデジタルミレニアム著作権法 （Digital Millenium Copyright Act）（IT用語辞典e-Words）により規制されるやもしれない。
また場合によってはWeb マスターのための Google 情報（Google）などに通報され削除されるだけだし。（他人のサイトを丸写ししたミラーサイトへの扱いがGoogleに書かれていたはずなのだが、見つからない）
なのでやり方としては本文を丸写ししたりはせず、検索エンジン経由で相手のサイトが上位表示されるキーワードをひたすら利用する必要がある。悪意をむき出しにする勇気があるならば、相手のサイト名をそれとなく散りばめたり。
と言うかね、実際にこの方法で潰されているサイトが存在するんだよね、はい。
余談 - 引用なり掲載について
自分はこのSempliceにては、いずこかのサイト・もしくは文書の内容を転載するに当っては、必ずその出典を明らかにしている。
これは引用元へ敬意を払うのと同時に、そのリンクを掲載する事により微力ながら応援する事となるだろう。
（一部の新聞社は「見出しの転載も違法だ」などと唱えてはいるようなんだけど）
出典を明らかにした引用は、マナーにかなった行為である。そして最低限備えるべき礼儀なのだ。
ブログを運営するに当って、こちらが以前より練っていたネタと同等のネタを書いていたサイトを発見したらば、投稿時にはそれを掲載するようには心がけている。そしてこちらのブログ掲載後にそのような有用な情報を見つけた場合は、読者へ十分な情報を提供する目的にてこれを掲載している。
これは引用におけるマナーなどとは別次元の、同等の話を扱うサイトを何らかの形で支援したいとの気持ちによるものである。自分はそのような「つながり」を重視しており、そして同じような問題を扱うサイトを見つけたらば、共通の話題を共有する相手として微力ながらどんどん支援したいと考えております。
こちらが掲載したネタをより深く掘り下げている推奨すべきサイトがありましたらば、どんどんコメントにて紹介していただけないでしょうか。そのようなネタ振りに対しては、深く感謝致します。
しかしながらこちらの意思なり運営に当っての立ち位置は、他者に強要されるものではないし。
LucaさんはLucaさんで、個別の人格を持った一人の人間で。
何をどう考えようがそれはこちらの自由であって、またこちらの人格と意思の産物です。
興味を持った・また関心のあるネタは、どんどん調べ問い合わせメールを送りまくり、うっとおしいと言われつつ取材したりします。またこれらより得た結果を自身のコヤシとし参考とし、微力ながら支援したいと。
ですがね、一方的に何かを強要されてもなぁ、と。
一例としてただ単に「何らをインストールした」との体験談に過ぎないもの・フォーラム上の情報としての価値が皆無な書き込みに対し、Lucaさんによるポジティブなコメントを強要したりSempliceにて紹介するよう求めるプレッシャーに対しては、「はぁ？」と即答するか無視するだろう、と。
それに対しキレPMを送られたり、他者を扇動されたりしてもですね。こちらとしては迷惑としか言えず。
（本人の閲覧確認後、上記の内容は削除するような気がするものの、残すやもしれず）
これまた余談ですが、そろそろ必要な予感がしまして、コメントに禁止ワードを設定しました。
「偶然」これにヒットしてしまい投稿がブロックされた方は、対応致しますので個別に連絡をいただければと。
Posted by Luca at 20:09
│
│
2005年12月11日 - WindowsMeの起動フロッピーディスク
起動フロッピーディスクとは
Windows98、WindowsMeの起動フロッピーディスクをご存知だろうか？今更の感はあるんだが。
なおマイクロソフトは「起動ディスク」と呼称し、ネット上では多くのサイトが「起動FD」と呼称しているが、この場では混同を避ける目的で「起動フロッピーディスク」として扱う。
これは障害発生時に利用するツールで、Windowsが起動できない場合などに重宝する。相応に多機能で便利であるが、NTFSのボリュームには利用できないためWindows2000やWindowsXPを修復するには難がある。
作成方法はWindows Me で起動ディスクを作成する方法（Microsoft）を見ての通り、大変簡単なものなのだ。Windows2000やWindowsXPでの回復コンソール以上に役立つ場合もあるため、WindowsMeを利用しているならばとりあえず何かの事態に備え準備しておくべきだろう。
その他の機能はContents of the Windows Millennium Startup Disk（Microsoft）に掲載されているファイル名を眺め、使えるコマンドを何となく推察してもらいたい。
起動フロッピーディスクより行う（やや風変わりな）操作の一例として、レジストリを復元するには（Microsoft）で紹介されているように「scanreg /restore」にてMicrosoft レジストリ チェッカーを起動し、レジストリを以前の状態に戻す、とか。
マルウェア感染後に感染中のマシンのOSを起動すれば、被害が拡大する可能性があるのだが。汚染されたパソコンをOSを起動せずに「何とかやりくりする」には、（既存のファイルを上書きされていない場合ならば）対応策の1つとしては有用だろう。
なおAllBootDisks.com（http://www.allbootdisks.com/Languages/jp/index-jp.html）のように、Windowsの起動フロッピーディスク作成ツールをダウンロードできるサイトが存在するんだけど。これって合法的な行為なんですかね？
起動フロッピーディスクは、どのマシンへも使えるのか？
WindowsMeの起動フロッピーディスクを、他のパソコンへの障害対策ツールとして利用したいのだが。今時は光学ドライブが無いパソコンもあるし、外付けフロッピーディスクドライブよりブートできない場合もあるだろう。
そこでこれをCD-Rに焼き、フロッピーディスクドライブが無いパソコンにて利用したらばと考え。
その際にですね、頭を過ぎった疑念なんですが。
これを他のパソコンにて利用すれば、著作権侵害・ライセンス侵害などの宜しくない状態に陥るのでは？
しかしマイクロソフトのサイトには、この起動フロッピーディスクを他のマシンにて利用するとしか読み取れないページもあったりしまして。例としてWindows XP を修復インストール (再インストール) するには（Microsoft）にて掲載されている「起動ディスクを使用して、再インストールするには」の項目
Contact Us マイクロソフトへのご意見・ご要望（Microsoft）のフォームより問い合わせたらば、charset="iso-8859-1"の凄まじい文字化けメールの返信が。とりあえずサポートに電話しろ、の意味らしい。
マイクロソフト カスタマーインフォメーションセンター（Microsoft）に掲載されている電話番号に、電話にて問い合わせたのだが。
Luca asked:
1）Windows Meの起動フロッピーディスクを他のマシンから作成し、Windows MeがインストールされていないWindows XPマシンにて利用するのは、ライセンスなり著作権に違反？
2）またデュアルブートでCドライブにMe、DドライブにXPの場合、このCドライブのMeより作成した起動フロッピーディスクは？
Support said:
1）元々はWindowsMeであったパソコンに、ライセンス上問題が無いアップグレード版XPを利用するためならばOK。
2）OEM版・メーカープリインストールのWindowsMEより作成した起動フロッピーディスクは、場合によってはライセンスに抵触する可能性がある。
3）正規版で別のマシンで一切利用していないライセンス状問題が無いWindowsMeを使う場合はOK。
つまりあるパソコンに正規版WindowsMeをインストールし起動フロッピーディスクを作成。
次に、パソコンにインストールしている正規版WindowsMeをアンインストール。
そうすれば、その起動フロッピーディスクを他のパソコン上にて利用しても構わないとの回答だった。
Luca asked:
以前こちらは、Microsoftに問い合わせた際に、他のパソコンにWindows Meの起動フロッピーディスクを利用した操作について伺った記憶があります。
また貴社のWindows XP を修復インストール (再インストール) するには（Microsoft）にて掲載されている「起動ディスクを使用して、再インストールするには」の項目にて、堂々と「Windows 98 または Windows Me の起動ディスクを使用します」と記載されているのは、不法行為になるのでは？
Support said:
これらはあくまでも技術的な話であって、法的な問題とは別の話です。
嗚呼、そうですか
Luca asked:
WindowsMeの起動フロッピーディスクを、ブータブルCD-Rとし。そして起動フロッピーディスクを廃棄した場合、ライセンスに抵触するのか？
Support said:
明日ご連絡いたします。明日と言っても、それは明日に確実に連絡するとの意味ではありません。
そして現在、数日間放置されております。
（課題）起動フロッピーディスクを用いたXPの修復
何らかのマルウェアに感染し、これを駆除できない・もしくは極めて困難であると想定される場合に、これを活用できないものかと。
- NTFS DOSなどを利用し、これよりNTFSでフォーマットされたパーティション中のファイルを操作したい
- NTFSをFAT32に変換してしまうのは、アイディアとしては保留
- 起動フロッピーディスクよりC:\WINDOWS\system32\Restore\rstrui.exeを実行し、システムの復元機能を利用できないだろうか
Posted by Luca at 00:12
│
│
2005年12月05日 - NHKクローズアップ現代、スパイウェア（Spyware）対策の法令
2005年12月5日、NHKのクローズアップ現代なる番組にて、スパイウェアの特集が組まれ放映されました。
じっくりと拝見したんだけど、うまーくまとまっている印象であった。
少なくとも自分の知見が及ぶ範囲では、NHK科学文化部の片岡氏（人名がこれで正しいのか？）氏の解説もおかしなものではなくって。
番組中にて何度もスパイウェアとして紹介されたネタは、LoverSpyであった。
まさかこれをスパイウェアのネタとして放映したりはしないだろうなぁ、と思っていたんだけどな。個人的にはCWSとかGatorとか181Solutionsなどを期待していたんだけど。その点ではつまらないものだった。
LoverSpyとは、「恋人を監視」するとの名目で利用されるスパイウェアであり、シェアウェアである。作者は最近逮捕されたようだ。
グリーティングカードを装いIDやパスワードを盗み出すプログラム（Internet Watch）
Spyware-LoverSpy application（McAFEE）
恋人を監視するスパイウェア（スラッシュドットジャパン）
ちなみに米国ではこのLoverSpyを規制する法律が無く、FBIが逮捕するに当って盗聴としてこれを扱い逮捕したと番組中にて紹介されていた。
そのような「スパイウェア対策の法律が欠如している米国内の現状」として、米国のSpy Actが紹介されたんだけど。
それでは現時点では米国にては、NHKのコメンテーターが言うように、スパイウェアを配布し個人の情報を取得するに当って、「盗聴」扱いと拡大解釈しなければ逮捕できないんですかね？そうでは無いように思われるんですが。
連邦政府が定めた法令とは別に、スパイウェア対策の法令が定められている州もあるようだ。米ソニーCD問題：テキサス州当局、スパイウェア法違反で提訴（Wired News, 2005/11/22）にては、テキサス州のスパイウェア防止法を後ろ盾としている。
また連邦取引委員会（FTC）はFTC Actにより、スパイウェア配布者を訴えた例もあるようだが。
なお「Section 5 of the Federal Trade Commission Act (FTC Act)」とは§ 45. Unfair methods of competition unlawful; prevention by Commissionを指すらしい。
なおこのFTCは、SPY ACTに対してこのようなコメントをしている。
NHK科学文化部の片岡氏により、日本国内でのスパイウェアの扱いについての講釈があったのだが。
「スパイウェアを作成、他者のパソコンにインストール、また情報を盗むのは処罰の対象ではなく。盗んだ情報を悪用した時点で違法行為となる。」そうだ。
国内でのスパイウェアの初摘発と言われるつい先日のスパイウェアによる不正振り込みで逮捕者、犯行時は他人の無線LANを利用（INTERNET Watch）で紹介されている事例は、不正アクセス禁止法違反と電子計算機使用詐欺ですね。
最近、ウイルス製造・所持規制法案なるものが国会に提出されているようだ。あと、犯罪の国際化及び組織化並びに情報処理の高度化に対処するための刑法等の一部を改正する法律案（内閣法制局）ね。
またMatimulog net法：Vocal Cancelがウイルスな件について。などを眺めたんだけど。
現時点での日本の法令にては、抜いた個人情報なりまた何かのIDやパスワードを、いずこかで利用しないとの前提があればですね。他人のパソコンにスパイウェア・監視ツール・遠隔操作ツールをインストールし、そして監視・また個人情報やその他の私的な情報を抜き取るのは、警察のご厄介にはならないんでしょうかね？
日本には米国のFTC ACTに該当するような法令が無いものかとざっと探したらば、私的独占の禁止及び公正取引の確保に関する法律なるものがありまして。
「第５章 不公正な取引方法 - 第19条 事業者は、不公正な取引方法を用いてはならない。」と堂々と明記されているようですが。
これは悪質な業者がグレーウェアをユーザーのパソコンにインストールし、何度も何度も常識的な回数を超えてポップアップ広告を表示させ、またあるソフトウェアの購入を強要するような手法には、果たして対応し得るんでしょうか。
（何だかどうも、違うような気がする）
自分は法律とかが全くわからず、そのような分野へのセンスを完全に欠いている人間なんですが。詳しい方が居りましたらば、参考になる情報や解釈などの情報を提示していただければ幸いです。
NHK科学文化部の片岡氏によれば「そのようなソフト（スパイウェア）は販売されていない。」との話であったのだが。
まぁ実際には多数目にしますが、ねぇ。「監視ツール」とか「ネットワーク監視ツール」の名目にて。またブラウザハイジャッカー経由やメール経由にて感染するマルウェアに、個人情報やクレジットカード関連情報を抜き取る目的のマルウェアが多数存在するのは、周知の通りだし。
（スパイウェアが広義・また極めて狭義の意味合いなのかは、ここでは扱わない）
結局最期まで番組を眺めたんだが。海外の事例はともかく、「じゃぁ日本国内ではどうなんだ？」なる部分が、どうも納得がいくだけの「深さ」が無い。こちらの理解が至らない部分があり、十分には解釈できなかっただけなのやもしれないんですが。
これだけ多くのエンドユーザーが被害に遭遇しているにも関わらず、何件か見かけたオンラインゲームのアカウントハックなどの事例（これはスパイウェアの配布を咎めるものではなかった）を除けば、どれだけの事件が警察により対応され訴訟の対象となっているものなのか、興味があります。
刑事罰が適用されるか否かは別として、民事訴訟としてどんどん訴えてしまえば、どうなるんですかね？
じっくりと拝見したんだけど、うまーくまとまっている印象であった。
少なくとも自分の知見が及ぶ範囲では、NHK科学文化部の片岡氏（人名がこれで正しいのか？）氏の解説もおかしなものではなくって。
番組中にて何度もスパイウェアとして紹介されたネタは、LoverSpyであった。
まさかこれをスパイウェアのネタとして放映したりはしないだろうなぁ、と思っていたんだけどな。個人的にはCWSとかGatorとか181Solutionsなどを期待していたんだけど。その点ではつまらないものだった。
LoverSpyとは、「恋人を監視」するとの名目で利用されるスパイウェアであり、シェアウェアである。作者は最近逮捕されたようだ。
グリーティングカードを装いIDやパスワードを盗み出すプログラム（Internet Watch）
Spyware-LoverSpy application（McAFEE）
恋人を監視するスパイウェア（スラッシュドットジャパン）
スパイウェアと法律
ちなみに米国ではこのLoverSpyを規制する法律が無く、FBIが逮捕するに当って盗聴としてこれを扱い逮捕したと番組中にて紹介されていた。
そのような「スパイウェア対策の法律が欠如している米国内の現状」として、米国のSpy Actが紹介されたんだけど。
米下院エネルギー商業委員会は26日(現地時間)、HR29、通称"SPY ACT"に関するヒアリングを開催した。ヒアリングには米Microsoftや米EarthLinkなどが参加し、HR29に対して賛成の意を示したという。
HR29は2004年、同じくスパイウェアを規制する目的で議会に提出されたHR2929の"2005年版"ともいえる法案。HR2929は2004年10月5日(現地時間)に米下院本会議にて賛成票399票、反対票1票で可決された。しかしその後上院で否決され、最終的な立法には至らなかった。今回のHR29では、キーロギングやフィッシングといった悪質な行為への罰則などが盛り込まれるなど、対策を強化する方向でさらなる議論が重ねられている。
SPY ACT、米上院へ再び - IT業界からの賛成も取り付け万全か?（MYCOM PC WEB, 2005/1/28）
それでは現時点では米国にては、NHKのコメンテーターが言うように、スパイウェアを配布し個人の情報を取得するに当って、「盗聴」扱いと拡大解釈しなければ逮捕できないんですかね？そうでは無いように思われるんですが。
連邦政府が定めた法令とは別に、スパイウェア対策の法令が定められている州もあるようだ。米ソニーCD問題：テキサス州当局、スパイウェア法違反で提訴（Wired News, 2005/11/22）にては、テキサス州のスパイウェア防止法を後ろ盾としている。
また連邦取引委員会（FTC）はFTC Actにより、スパイウェア配布者を訴えた例もあるようだが。
なお「Section 5 of the Federal Trade Commission Act (FTC Act)」とは§ 45. Unfair methods of competition unlawful; prevention by Commissionを指すらしい。
米連邦取引委員会(FTC: Federal Trade Commission)は、消費者を虚偽広告で欺き、違法にスパイウェアを配信したとして、米Odysseus Marketingの提訴に踏み切ったことを明らかにした。
今回、Odysseus Marketingは、ユーザーの同意を得ることなく、密かにスパイウェアの配信を手がけて、FTC Act法のSection 5などに違反した疑いで、違法な詐欺的行為の恒久的な停止を求めて、FTCから訴えられているようだ。
米FTC、偽P2Pソフトでのスパイウェア配信企業を提訴 - 違反者の摘発強化へ（PCWEB, 2005/10/6）
なおこのFTCは、SPY ACTに対してこのようなコメントをしている。
連邦取引委員会（FTC）は（2004年）11月5日、連邦議会に対し、スパイウェア規制法は不要であると再び訴えた。スパイウェアの使用者を罰するには、現行の詐欺関連法で十分だというのが理由だ。
スウィンドル氏は、現行法が機能している例として、FTCが10月にスパイウェア利用業者に対して起こした初の訴訟を挙げた。
FTC、スパイウェア規制法の廃案を議会に要求（IT Media, 2004/11/8）
日本国内での法令とスパイウェア
NHK科学文化部の片岡氏により、日本国内でのスパイウェアの扱いについての講釈があったのだが。
「スパイウェアを作成、他者のパソコンにインストール、また情報を盗むのは処罰の対象ではなく。盗んだ情報を悪用した時点で違法行為となる。」そうだ。
国内でのスパイウェアの初摘発と言われるつい先日のスパイウェアによる不正振り込みで逮捕者、犯行時は他人の無線LANを利用（INTERNET Watch）で紹介されている事例は、不正アクセス禁止法違反と電子計算機使用詐欺ですね。
最近、ウイルス製造・所持規制法案なるものが国会に提出されているようだ。あと、犯罪の国際化及び組織化並びに情報処理の高度化に対処するための刑法等の一部を改正する法律案（内閣法制局）ね。
またMatimulog net法：Vocal Cancelがウイルスな件について。などを眺めたんだけど。
現時点での日本の法令にては、抜いた個人情報なりまた何かのIDやパスワードを、いずこかで利用しないとの前提があればですね。他人のパソコンにスパイウェア・監視ツール・遠隔操作ツールをインストールし、そして監視・また個人情報やその他の私的な情報を抜き取るのは、警察のご厄介にはならないんでしょうかね？
日本には米国のFTC ACTに該当するような法令が無いものかとざっと探したらば、私的独占の禁止及び公正取引の確保に関する法律なるものがありまして。
「第５章 不公正な取引方法 - 第19条 事業者は、不公正な取引方法を用いてはならない。」と堂々と明記されているようですが。
これは悪質な業者がグレーウェアをユーザーのパソコンにインストールし、何度も何度も常識的な回数を超えてポップアップ広告を表示させ、またあるソフトウェアの購入を強要するような手法には、果たして対応し得るんでしょうか。
（何だかどうも、違うような気がする）
自分は法律とかが全くわからず、そのような分野へのセンスを完全に欠いている人間なんですが。詳しい方が居りましたらば、参考になる情報や解釈などの情報を提示していただければ幸いです。
スパイウェアの現状
NHK科学文化部の片岡氏によれば「そのようなソフト（スパイウェア）は販売されていない。」との話であったのだが。
まぁ実際には多数目にしますが、ねぇ。「監視ツール」とか「ネットワーク監視ツール」の名目にて。またブラウザハイジャッカー経由やメール経由にて感染するマルウェアに、個人情報やクレジットカード関連情報を抜き取る目的のマルウェアが多数存在するのは、周知の通りだし。
（スパイウェアが広義・また極めて狭義の意味合いなのかは、ここでは扱わない）
結局最期まで番組を眺めたんだが。海外の事例はともかく、「じゃぁ日本国内ではどうなんだ？」なる部分が、どうも納得がいくだけの「深さ」が無い。こちらの理解が至らない部分があり、十分には解釈できなかっただけなのやもしれないんですが。
これだけ多くのエンドユーザーが被害に遭遇しているにも関わらず、何件か見かけたオンラインゲームのアカウントハックなどの事例（これはスパイウェアの配布を咎めるものではなかった）を除けば、どれだけの事件が警察により対応され訴訟の対象となっているものなのか、興味があります。
刑事罰が適用されるか否かは別として、民事訴訟としてどんどん訴えてしまえば、どうなるんですかね？
Posted by Luca at 21:06
│
│
2005年12月04日 - 没ネタとクダ話の倉庫
日の目を見ない下らない没ネタ
最近色々考えて試したものの、あまりにも「意味無い」とか「それは何の役に立つんだ？」的な没ネタが増えております。
自分はBlogに掲載するネタは、じっくりと考えそして必要に応じテストを重ねた上で掲載しておりますが。稀に、いやよくハズレも生じまして。
それぞれのネタには調査・実証・とりまとめに数時間から数日の時間がかかってはいるんですが、公開しても意味や意義が皆無・もしくはほとんど無くって。
これら没ネタをそのままこちらのメモから削除または永久放置するのも無念だしもったいないし。このようなつまらないネタを延々と書き続ける場所があっても良いのではと考え、とりあえず記録目的でここに掲載。
今後延々と下らないネタが続き更新されるとは思われますが。何かの笑いのネタとしていただければ幸いです。
WindowsXPのフロッピーブートインストール用起動ディスクを活用する
以前WindowsXPのインストールを試みたものの、OSのCD-ROMより何故かブートできなかった経験がある（理由は今でもわからない）。その時にインストール用起動ディスクをダウンロード・作成し、何とかOSのインストールに成功したのだが。
このような場合に利用するのが、このフロッピーディスク。Windows XP のインストール用起動ディスクを入手する方法より、目的のWindowsXPのバージョン用として公開されているインストール用起動ディスクをダウンロードし、フロッピーディスク6枚を消費してインストール用起動ディスクを作成するものだ。
これをブータブルCD化して、何かの目的で利用できないかと考えたんだけど。
駄目ですね、こりゃ。
大体、「光学ドライブよりCD-ROMが起動できない場合に利用するFDを、わざわざCD-Rにする必要があるんですかぁ？」
我ながら、あまりにも何かの判断を誤ったような気がしました。
NTFSのボリュームをFAT32に変換
Windows Meの起動フロッピーディスクやアンチウイルスソフトのスキャン用フロッピーディスクは、FAT32のファイルシステムでなければ活用ができないものなんだが。
Partition Magicなどの市販のユーティリティソフトを利用し、NTFSのボリュームをFAT32に変換できるんだけど。これを利用し何か面白い事ができないかと考えたんですがね。
ハードディスクを引っこ抜き、他のパソコンに接続して利用すればいいぢゃないですか！
またFAT32に変換してしまえば、NTFSのボリューム上で設定したアクセス権などの設定が全て吹っ飛んでしまうのではと。
NTFS 代替データストリーム（ADS）に問題があった場合は、これが活用できそうな予感はしたものの。結局何の意味があるのか我ながら判別できず。
いちお、Windows XPが起動できなくなった場合にNTFSをFAT32に変換し、WindowsMeの起動フロッピーディスクよりシステムの復元機能を起動する修復方法は頭によぎるものの。表で書くだけのネタではない。
某アンチウイルスソフト
ブラウザハイジャッカー感染時に強制的に表示されるサイトで紹介される、とあるアンチウイルスソフト。これはマルウェア配布者である広告業者に委託し宣伝している可能性があるものの、それらの経緯はわからず。
これはインチキかどうかを試したんですがね。
とりあえずEICARは検出できるし。機能的には十分とは言い切れないものの、一応最低レベルの機能は備わっている。
「出来が悪いアンチウイルスソフト」と「インチキな単なるゴミ」のボーダーや区分が、判断つかず。
保留とし後日これらの切り分けなり判断基準が思いついたらば、再度テストします。
ユーザーの名称をローカルなhtmlから抜く
Semplice閲覧者の中には、何故かhtmlを丸ごとダウンロードしそれをじっくり閲覧している方が存在するんですが。
リファがですね、C:\Documents and Settings\username、なんですね。本名が丸出しで。
Internet Explorerのマイコンピューターゾーンでの設定、またはWindowsXP SP2導入後のInternet Explorer SP2で何とかなりそうな気がしたものの。
これを検証するのにどれだけの意味があるのかわからないんですね、はい。個別のユーザーごとの環境に左右されるだろうし。
それ以前にまぁ。このようなネタを掲載するのは、こちらのカラーに合いません。
出会い系サイトの登録
最近数十件/dayの出会い系スパムが来るんですがね。
これらを閲覧しユーザー登録する際に、他の出会い系業者の連絡先メアドを登録するなど。
って、どれだけの意味があるんだろうか。
Personal Fire Wallの導入
アンチウイルスソフトにバンドルされているような製品だけではなく、ZoneAlarmのような設定が簡便なもの、またKerio Personal Firewallのようなルールベースでしっかりと設定できるものを導入し、確実にカスタマイズしようと試みたんですがね。
ユーザーごとにWebの接続環境は異なるし、それぞれの利用形態も大きく違うものと思われまして。
普遍的な利用法を提示するのは無理があると判断し、あきらめました。
マルウェア感染の修復中に電源カット
先日とある作業中にアプリケーションが固まってしまい。作業中の内容が全て吹っ飛んでしまいまして。
その時に思いついたんですが。
Watcherと呼ばれるタイプのマルウェアが存在します、これは2つ以上のプロセスなりが相互に互いを監視し、一方が停止・または削除された場合に速やかにそれを修復するもので。
またレジストリへ登録しているマルウェア関連のレジストリエントリを修復した際にそれを検出し、新たなレジストリエントリを追加するタイプのマルウェアも存在するようです（レジストリエディタからの操作ではなくレジストリハイブを直接編集する技も存在するようで）。
前置きは長くなりましたが。
このようなタイプのマルウェアに対処する場合に、修復作業の直後にですね。
いきなり「コンセントを引っこ抜く！！！」これでどうだぁ！と。
我ながら会心のアイディアが思いついたと心の底から喜び。他所様に報告したらばですね。
「ほかの障害が発生してしまうとき、Lucaさんはどう責任をとるおつもり？」
そう言われ一瞬で撃沈され。意気消沈しました。
Posted by Luca at 21:15
│
│
