2006年02月25日 - スパイウェア（Spyware）の解説と定義、概論
スパイウェア（Spyware）とは
スパイウェアを端的に説明すれば、「個人情報を抜き取る悪質なソフトウェア」である。ユーザーの個人情報やプライバシーに関わる情報、例えばアカウント名やいつどこのWebサイトを閲覧したのかを追跡するものだ。
スパイウェアについては狭義と広義の定義、また団体ごとに異なる定義や扱いが存在する。それらの経緯について少し考えてみたい。
スパイウェア（Spyware）の変遷
やや古い（狭義の）スパイウェアは、悪質な広告代理店によるマーケティング目的でのツールに過ぎないものであり、これらはせいぜい閲覧したサイトの傾向よりユーザーの消費動向を探る程度のものだった。
そして2003年頃までは少なくとも日本国内にては、それ以上の情報（つまりユーザーのIDやパスワード等）を取得する目的の悪質なソフトウェアは、トロイの木馬やハックラツールなどとカテゴライズされる例が多かった。そのため当時の（古い定義における狭義での）スパイウェアは、ウイルス・トロイと比較し軽視される傾向があった。
（注：この場合のトロイの木馬（Trojan Horse）とはバックドアトロイ・RATなどではない）
近年ではニュース中のスパイウェアは、解釈がかなり変わっている。
現在ではスパイウェア（Spyware）と言えば、犯罪行為に繋がるようなソフトウェア（旧来のトロイ）を含むものとして理解され、ニュースポータルや既存のメディアなどはそのように報道されている。これが取得する情報としてはオンラインバンクやネットゲームのIDとパスワード、Windowsのログオンパスワードなどだ。
（注：現在でも一部のアンチウイルスソフトメーカーは、個人情報の漏洩をもたらすソフトウェアの一部をトロイの木馬として扱っている。）
アンチウイルスソフトでは一例としてNorton AntiVirus 2004（2003年9月発売）にて、悪質なアドウェア及びスパイウェアに対しやっと本格的に対応された。それ以前はAd-awareとSpyBot S&Dを除けば、十分な性能のスパイウェア対策ソフトは無かったと書いても過言ではない。
また自分の記憶ではそれまで「スパイウェア」はGoogle検索でせいぜい数千程度だったはずだが、2006年2月現在では200万件を超えた。この増加はアンチウイルスソフトメーカーがスパイウェア分野に進出したのに期を同じくする。
（注：検索エンジンによる日本語キーワードの検索結果は、必ずしも感染数の多さを反映しない。「ルートキット」はSempliceにて初めて書いた時点では、Google検索にてせいぜい数百件だったものの、現在は19万件である。これはSony Rootkitがマスメディアにより報道された結果である）
なおユーザーの同意を得た上で導入され、そして送信される情報がブラウザの利用履歴など個人情報を含まず・また個人を特定できないようなものは、トラックウェア（Trackware）と区分される場合がある。これは（対策ソフトメーカー側としては）無害であり法律に触れない物として扱われる。
強制的・無断でのインストールや、ユーザーに十分な情報を提示せず・同意や理解を得ずにインストールされるようなソフトウェアは、トラックウェアとしては扱われないだろう。
注意してもらいたい点として、悪質な業者が自社のツールをトラックウェアと呼ばせようと試みる例が存在する点だ。
Sempliceにおける、スパイウェアの定義
このブログにては、マーケティング目的で利用される（古く・そして狭義での意味の）スパイウェアと、パソコンに保存され・または入力される情報を犯罪行為や悪質な目的のために収集・場合によってはいずこかへ送信するソフトウェアを合わせて、スパイウェアと呼称する。
つまりメールやネット上の様々なサービスのパスワードやIDその他の個人情報、個人を特定し得る形でのブラウジングの履歴などを抜き出して悪用し、それによりユーザーに許容され得ない不利益が生じるような悪質なソフトウェア全般とする。
またキーロガーは、その機能面での分類であるとする。
なおSempliceにては広義のスパイウェア、一例としてユーザーの了解を得ていないアドウェアやダイアラー・ブラウザハイジャッカーなどは、混同を避ける目的にてスパイウェアとしては扱わない。
広義のスパイウェアについては、後ほど長々と説明する。
スパイウェアの感染経路
スパイウェアが配布される主な経路は、おおざっぱな区分では以下に大別される。
1）既存の有用なソフトウェアにバンドルされる
2）スパイウェア製作者が、有用なソフトウェアとユーザーに思い込ませ導入させる
3）作成した企業のサイトからではなく、第三者の配布者である広告代理店またはスパイウェア製造者が作成した罠サイトからの感染。またダウンローダーのような、その他のソフトウェアをどんどん勝手にダウンロードしインストールさせるようなプログラムの感染から。
無料・フリー・タダなどを謳い文句で配布されるソフトウェアは、フリーウェアと称されるのだが。時にはフリーウェアは「その他の何か」をバンドルし、それによる収益をソフトウェアの代価として求める。
全てのフリーウェアがこのようなものではない。あくまでも極めて限定された一部のものが悪質な機能を備えるのだ。
なおこのような場合、有用なソフトウェアを利用する代償として導入しなければならないソフトウェアは「Foistware」と呼ばれる。
またWebサイト経由での感染は、近年被害が拡大している経路である。
Internet Explorerの脆弱性を利用したドライブバイダウンロード（Drive-by download）、つまり強制的インストールが利用される場合は、検証が困難であるし、アンチウイルスソフトメーカーとしても対応は難しい。エンドユーザーはどのサイトを閲覧したらば感染したのかを後日レポートできない例が多く、更にはWeb感染にてはブラウザハイジャッカーや悪質なアドウェアは感染元ではなく別のWebサイトを表示させる傾向が高いからだ。そしてそのような事例では、多くのマルウェアが複数まとめてインストールされる例も多いため、余計に判断がしづらい。
具体的にどのサイトを閲覧したらば感染したのか明らかならば、アンチウイルスソフトメーカーにURIを通報するのも一手だろう。
また検索エンジンへのアドワーズ広告や、無料Webサービスにおける広告経由の感染などの例もある。
変わった例としては、業者が作成したと考えられる（一見するとまともに見える）Webサイトが、セキュリティ対策ソフトであると紹介しスパイウェアの導入を推奨する事例もある。極めて稀には、どこかの「何とかセキュリティ対策」のようなタイトルの個人サイトが、アフィリエイト広告目的で紹介したソフトウェアがマルウェアであったとの笑えない話も何度か見聞きした。
マーケティング目的で拡大解釈されるスパイウェア（Spyware）の定義
広義のスパイウェア
一部のアンチウイルスソフトメーカーは、スパイウェアでも何でもない・個人情報の漏洩を引き起こさない・またただ広告を表示するだけのようなソフトウェアであってもスパイウェアとの検出名で対応する（これを「広義のスパイウェア」と以後呼称する）。
この広義のスパイウェアに感染した際には、以下のような症例が起こると一般には紹介されている。これらはいずれも「狭義のスパイウェア」とは乖離している点には注意してもらいたい。
- ブラウザでいずこかのサイトを閲覧中に、ポップアップ広告が表示される
- Internet Explorerのホームページ（起動時に表示されるページ）が見覚えの無いサイトに変更される
- Internet Explorerに覚えのないツールバーが導入される
- 勝手にブラウザが起動し・またはいずこかのサイトを閲覧しようとした際に、アダルトサイトを表示させられる
- パソコンの処理速度が低下する・頻繁にフリーズする
- インストールした覚えの無いソフトウェアがいつの間にか！
- デスクトップの壁紙が変更される
広義のスパイウェアとは何だろうか？
エンドユーザーのパソコンが何かのマルウェアに感染し、アンチウイルスソフト・またはアンチスパイウェアソフトにより検出されたとする。
このような場合に、ユーザーをどこまで陥れ不安を感じさせるか、これは一部の企業によっては至上な命題である。体験版や無料のオンラインスキャンにより何かが検出されたユーザーに、実際に製品版を購入させるよう促す最も有効な方法は、ユーザーを不安のどん底に落とし込む事だ。
そのような目的では、スパイウェアの「スパイ」との名称は、消費者の不安を煽るには大変有用である。
要約すれば広義のスパイウェアは、企業がその利益を優先するために用いた用法であり、実際には個人情報の漏洩などは引き起こさないようなグレイウェアをもスパイウェアとして扱うのだ。
このようなマーケティングはFUDとされる（FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice））。
このような広義のスパイウェアを（拡大解釈として）用いるのは、アンチウイルスソフトメーカーやアンチスパイウェアソフトメーカーなどの対策ソフトウェア販売者に限らない。一部のフォーラムや団体・個人は、単なる（ユーザーの許諾を得た上で導入された）アドウェアやどうでもいいようなツールをスパイウェアと呼ぶ。
これらの「意図的な拡大解釈」は、スパイウェアに対する議論を妨げ、結果として消費者の利益を阻害するだけだ。
かつてCOAST（Consortium of Anti-Spyware Technology vendors）なる団体が存在した。これはスパイウェアなどについて対策側の共通見解を得る目的で設立されたのだが。事情はわからないものの、ここに何故か評判が悪いアドウェア配布業者である180 Solutionsなる業者が参加し、これに反発するアンチウイルスソフトメーカーなどのボイコットにより消失してしまった。これについてはスパイウェア対策業界団体COASTと180solutions（Semplice）に記述しておいた。
その後スパイウェアを定義する団体として、ASC（Anti-Spyware Coalitionｍ）が設立され、その定義はアンチウイルスソフトメーカーや消費者団体がその活動における指標として利用されるだろう（ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義（Semplice））。
ASCは、既に多くの対策ソフトメーカーが「広義のスパイウェア」を用語として利用するのを妨げず、公式な文書にて断りがなければ、スパイウェアとは広義のスパイウェアを指すと発表した。
（これは「何でもかんでもスパイウェア扱いし、ユーザーの不安を煽るのを推奨する」との意味ではなく、現況での広義かつ広範な用例を解説しただけではなかろうか）
広義でスパイウェアと同義語とされたASCの「Spywareと他の潜在的に望ましくない技術（Spyware and Other Potentially Unwanted Technologies）」には、狭義でのスパイウェア以外にもSnoopware・Keylogger・Screen Scraper・Nuisance or Harmful Adware・Backdoors・Botnets・Droneware・Unauthorized Dialers・Hijackers・Rootkits・Hacker Tools (including port scanners)・Tricklers・Unauthorized Tracking Cookiesを含む。
思いっきり広義の意味で使ってしまえば、何でもアリだ。
2004年10月、とある企業にアドウェア等をスパイウェアとして扱うのはおかしいのではと問い合わせたらば「広義の意味でスパイウェアという用語を使っている」との回答を得た事がある。
どうも「スパイウェア」は、どんどん一人歩きしている。
この用語の響きや印象は、それに対する知見が備わっていない者であっても不安を感じ拒否感を感じさせるだろう。そしてマーケティングや宣伝の目的でエンドユーザーに不安を感じさせ「誤解」させれば、スパイウェア対策ソフトの購入につながり得をする企業も存在するのだ。
そんなものまでスパイウェア？
スパイウェアという用語は、広義の意味で使われる例もある。
一例としてトレンドマイクロ社の「スパイウェア」とは、「スパイウェアでは無いもの」まで、広義の解釈として含む。
広義のスパイウェアはそれを狭義のスパイウェアと混同させる姿勢は望ましくない。もし明確に定義するのであれば、トレンドマイクロの広義のスパイウェアは「マルウェア」もしくは独自の用語で表記するべきだ。
トレンドマイクロ社のスパイウェアについての定義は、このようなものだ
「スパイウェア」は不正プログラムには分類されないグレーゾーンのプログラムです。ユーザのコンピュータの動きや個人情報を監視し、この種の情報をユーザの許可またはユーザに知らせることなしに送信するアプリケーションであり、動きとしては情報漏洩型ハッキングツールに似ていますが、一般的なソフトウェア会社によって作成されている、セキュリティポリシーが開示されている、セキュリティに致命的な情報を流さない、などの条件により特に不正なものとは断定できないものです。逆に言うと「スパイウェア」と呼ばれているものは特に致命的な情報を漏らすことはない、とも言えます。致命的な情報を漏らすものはハッキングツールに分類され、当然検出の対象となります。
ウイルス対策基礎知識 - 用語集（TRENDMICRO）
ちなみにトレンドマイクロ社のsolutionId 10271は、こちらの問い合わせ直後に以下の内容は削除された。資料的価値があると思われるので、転載し残しておく。
これは「（トレンドマイクロ的）広義のスパイウェア」について書かれている、つまりアドウェアやブラウザハイジャッカーを含んでいるのに注意した上で読んでもらいたい。
スパイウェアとは、知らないうちにコンピュータに侵入し、キー入力情報を保存しておいて外部に送信したり、広告をしつこくポップアップしたりするプログラムを指します。
悪質なスパイウェアの場合、レジストリの情報を無断で書き換え、広告サイトにアクセスさせたり、個人情報を盗むための不正プログラムのダウンロードを促すなどの問題行動をとることもあります。
「スパイウェアについて（TRENDMICRO）（http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionId=10271）
トレンドマイクロの用語の定義には時折違和感を感じる。例として「TROJ」の接頭語の例だ。
これはトロイだけではなく、ハッキングツールや一部のスキャナー類に対しても利用される。つまりトロイではなくても、TROJ（以下略）の検出名とされるのだ。これはその検出対象となったソフトウェアへの適切な対応を阻害し、場合によっては誤解させる可能性がある。
定義や用語が不適切であったり混同されていると、ユーザーの誤解を招く可能性がある。メーカーごとに独自の用語を用いるのは仕方ないとしても、せめて社内では広義・狭義・そしてトレンドマイクロ的用語を混同しないように注意を払っていただきたい。
（問い合わせの際に、担当者によりそれぞれ言う事が違ってたのだ）
「スパイウェア（Spyware）」の大量検出とクッキー
またネット上での書き込みにてよく、「数十・数百のスパイウェアを検出しました！」との書き込みを散見する。彼らのパソコンより発見されたものの大部分は、トラッキングクッキーが大多数を占めているのだと推察される。
日本を標的にしたスパイウェアが増える〜ウェブルート調査（INTERNET Watch）のように断りがある記事もあるのだが。
凄まじい数字をレポートする記事も存在する。
「過信は禁物、パソコンの80％がスパイウエアに感染」、米調査（nikkeibp.jp - IT）
「米国でPCの90％にスパイウエア」、米Dellと業界団体が報告（nikkeibp.jp - IT）
トラッキングクッキーを含めれば、パーセンテージでは数倍。そして感染した「スパイウェアの数」では一気に数十・数百もの数字を叩き出せるようなケースも多々あるのだろう。
トラッキングクッキー（Tracking Cookies）はInternet Explorerの設定画面より一瞬で削除できるのだし、これを体験版によるスキャンにてスパイウェアとして検出し騒ぎ立て、金銭を支払い製品を購入するよう求めるソフトウェアも存在する。
クッキー（cookie）をろくに説明も無くスパイウェアとして扱うのはFUD
2006年3月11日追記事項
�睫攅生�氏が、クッキー（cookie）をスパイウェアとしてカウントし検出するのはFUDでは、との趣旨のブログを掲載していた。是非とも紹介したい。
FUDについては、FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング（Semplice）とランサムウェア（Ransomware）とFUD（Semplice）を閲覧してもらいたい。
スパイウェア検出ソフトを使って自分のコンピュータをスキャンしてみたときに、たくさん検出されてびっくりしてみたら、大半がcookie*1で（あとはせいぜいJWordとAlexaが検出されるという程度で）拍子抜けしたという人も多いだろう。スパイウェア検出ソフト売り業者たちは、製品を実行しても何も検出されないという事態を避けるため、わざとcookieをスパイウェアに含めることにしている。
しかし、「銀行の預金被害の原因がスパイウェア」という危険イメージからすれば、トラッキングcookieは、ちっとも危険でない。トレンドマイクロにいたっては、cookieが検出されたユーザたちに「ご安心ください」となだめてさえいる。
（スパイウェア検索をすると「COOKIE_････」が多量に検出されるのですが、大丈夫ですか？（ウイルスバスター相談室：トレンドマイクロ社）よりの引用を紹介）
ブログからFUDへ？ 眞鍋かをりは30個の「スパイウェア」のうちcookieの数を明らかにせよ（高木浩光＠自宅の日記）
（引用元が引用しているコンテンツを紹介するには、どのようにすればいいんでしょうかね？）
スパイウェア対策ソフトがクッキーをスパイウェアとして扱うのは、以前より同様の疑念を感じておりました。Internet Explorerの設定画面よりザクッと簡単に削除できるものを、一部の業者は何故に重篤な障害であるように装い、製品の購入を結果として迫るのだろうかと。
（クッキーがスパイウェアの範疇に含まれるべきなのか否か、その点は自分の中では判断がついておりませんが）
�睫攣瓩離屮蹈阿防佞餌�すとしたらば、トレンドマイクロ社の解説は微妙な気が。これでは「クッキーを削除すると面倒なだけなんですね！ならば削除しないで恒久的に保存します！」との解釈を、多くの初心者は閲覧後に下すような予感が。
サイト利用後のクッキーはさっさと削除、これが模範解答でしょうに（トラッキングクッキーであろうとなかろうと）。
パソコンの盗難・また悪意のある家族や知人による操作時に、クッキーにより認証をクリアされ、本来の利用者であるとなりすまされる可能性は否定できず。また不特定多数が操作しうるパソコンに、クッキーを保存したままにするのは相応のリスクを負うのでは。
企業犯罪とスパイウェア
スパイウェア及びユーザーの了解を得ずに導入されるアドウェアは、企業による違法行為スレスレ（場合によってはズバリ違法）な、企業による経済活動の一環として行われている事業である（この点でこれらは、ウイルスとはかけ離れ、またBotはボットマスターを介在する点で微妙に異なる）。
これらはWindowsやInternet Explorerの脆弱性を突いて勝手に無断でインストールされ。また使用許諾説明書（EULA）にアドウェア・スパイウェアの機能の範囲やその存在を明記せず他のソフトウェアにバンドルしインストールさせたりと、あまり宜しくない悪質なソフトウェアであり、マルウェア（Malware：悪質なソフトウェア）の大カテゴリに含まれる。
（十分に説明しユーザーの許諾を得ているアドウェアは、悪質なソフトウェアでもマルウェアでもないのだが。稀に（恐らく意図的に）混同し騒ぐ不思議な方も存在する）
また金銭的な目的のために感染させるスパイウェアも存在する。組織犯罪の色彩が強く、特定の企業や団体の関与が明らか・また強く示唆される場合がある。
スパイウェアとしてのワンクリウェア
ワンクリウェアには、ユーザーを脅迫する目的でメールアドレスを抜くものが存在する。はちみつれもんとして著名なワンクリウェアのTrojan.Hachilemは、一例としてSymantec社はTrojanの検出名で扱っている。
これはユーザーを一層の不安に落とし込むのが目的なのだろう。契約した覚えの無いアダルトサイト運営者より、感染したパソコンの持ち主へ支払いを求めるためのものだ。
ワンクリウェアについてはワンクリック詐欺、ワンクリウェアなるもの（Semplice）を閲覧願いたい。
スパイウェアと法律
米国では企業が経済活動を行う上でこのようなスパイウェア及びインストールに際し許諾を得ないアドウェアを、ユーザーを騙し・また強制的にインストールした場合は告発されるのだが。残念な事に日本国内ではスパイウェアの配布そのものを取り締まる法令は存在しないような気がする。
（盗み取ったIDとパスワードを用いてオンラインバンクにアクセスし他人の口座より金銭を奪った犯人が、不正アクセス禁止法と電子計算機使用詐欺にて逮捕された例は、一応日本国内でもあるのだが。）
注）NHKクローズアップ現代、スパイウェア（Spyware）対策の法令（Semplice）参照。
オンラインバンクなどを狙うスパイウェア
キーロガー（keylogger）をスパウェアに含めるのか否か、微妙に判別がつかないのだが（機能面では違うような気がするものの、情報取得の目的である点ではスパイウェアになるような）。
自分が記憶している限りで最も古い、キーロガを利用した犯罪の逮捕はこの記事である。
キーロガーで他人の銀行口座情報をを不正に入手し、現金を引き出したなどとして、警視庁は11月4日までに、東京都内の会社員の男（43）を不正アクセス禁止法違反と電子計算機使用詐欺の疑いで逮捕した。
調べでは、男は6月末から7月初めにかけ、他人のネット口座に不正に侵入し、約36万円を別口座に勝手に送金してだまし取った疑いがもたれている。
男はネットカフェのPCにキーロガーを仕掛けて口座情報を入手していた。またネットオークションのIDとパスワードも不正入手し、一部を販売していたと話しているという。
キーロガーで口座情報を不正入手、金を詐取した男逮捕（2004年11月4日）（ITmedia）
また2005年には、ネットバンキングのパスワードを取得する目的の事件があったのだが、スパイウェア製作者が逮捕された初めての例である。
ソフォスは、日本国内でスパイウェア作成者が逮捕されたことを歓迎しています。
警視庁ハイテク犯罪対策総合センターは26日までに、ネット銀行の顧客パスワードを盗むことを目的としてスパイウェアを作成し、顧客のPCに不正にアクセスして入手したパスワードを使用して現金を窃取したとして竹川敦容疑者（31歳）を逮捕しました。
国内で金融機関を狙ったスパイウェア作成者が逮捕されたのは初めてです。
竹川容疑者は、すでに起訴されている平山喜一被告（34歳）と共謀して、川崎市の貴金属販売業者のジャパンネット銀行のネットバンキング口座のパスワードをスパイウェアにより窃取した上、21万6,000円をだましとった容疑がかけられています。竹川容疑者は平山被告の依頼によりスパイウェアを作成し提供したものと見られています。
ソフォス、日本国内でのスパイウェア作成者逮捕に関してコメント（2006年1月26日）（Sophos）
平山容疑者は、千葉銀行（千葉市）や北陸銀行（富山市）の顧客にスパイウエアを忍び込ませたＣＤ―ＲＯＭが送りつけられた事件への関与もほのめかしており、同庁が関連を調べている。
平山容疑者が犯行を企画し、指名手配中の男がスパイウエアの作成やメール送付、不正送金の操作などを担当していた、とみられる。平山容疑者らは痕跡を残さないよう、不正アクセスやメール送付には他人の無線ＬＡＮを使っていたほか、都内で男がパソコンで不正送金の操作をした直後に、平山容疑者が静岡市内のコンビニエンスストアで現金を引き出し、連絡にはプリペイド携帯電話を使っていたという。
スパイウエア使った不正振り込み、容疑で男逮捕 警視庁 （asahi.com）http://www.asahi.com/digital/internet/TKY200511100307.html
一昔前は他人のIDとパスワードを取得するのは、何かの悪質な嫌がらせ目的が大多数だったような記憶がある。
スパイウェアに限らず近年のマルウェアによる犯罪やその被害は、金銭に直結するようなタイプがどんどんその比率を増していますね。
広告代理店と悪質なマルウェア配布業者との関係
多くのマルウェアのうちアドウェア（Adware）とスパイウェア（Spyware）は、製造元とは別の企業により配布される事例が多数見受けられる。
本当に、製造者と悪質な配布者の関係と責任は希薄なのだろうか？またソフトウェア製造者に悪意は無いのだろうか？
注）悪質な配布者によって強制的に導入される場合、危険性が低いグレーウェアであってもスパイウェア・マルウェア（Malware）として扱われる可能性がある
FTCはアドウェア企業を公表すべきか--悪質な宣伝活動の対策に賛否両論（CNET Japan）にてネット広告サービス業界の業界団体Network Advertising Initiative（NAI）のTrevor Hughes氏は、自社のソフトウェアがどのように配布されているのかを製造元は十分には把握しきれていないと言及した。これは悪質な広告代理店が悪質な方法で配布している可能性が存在し、これをアドウェアを製造した広告依頼主が把握していない場合に、広告依頼主の責任を追求できるのかとの意味と思われるのだが。
具体的な例として、http://plsthx.com/（以下略）は（インチキなBogus wareの）Winfixerをインストールさせようと試みる広告を表示したのだが、http://plsthx.com/（以下略）より表示される広告はWinfixerに限らず、FSS Japan社のようなまともな企業の広告も表示された（WinFixer2005による脅迫は自作自演（Semplice））。
他にも不正にインストールされたアドウェアが、一般的な企業、例えばGMの広告を表示したとの事例もあるのだが。大多数の場合は広告主とそれを悪質な手法により配布する広告代理店とは密接な繋がりがある。
Cool Web Searchなる有名なブラウザハイジャッカーが存在するのだが。これは脆弱性（セキュリティホール、とも言う）を突いて強制的にインストールするものだ。世界規模で多くのエンドユーザーが被害に遭い、大変迷惑しているのだが。Cool Web Search側では「広告代理店が勝手に悪質な手段でインストールさせているだけだ」と主張している。URIをメモより無くしてしまったので、元記事をこの場にて紹介できないのは大変残念だ。
また180 Solutions。これはSpyware Warriorがかなりしつこく追いかけているのだが、180 Solutionsの「第三者な公告代理店が勝手にやってるだけなんだもんね」との主張は説得力が無い。
関連記事
マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
スパイウェア（Spyware）対策と駆除
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
このブログは、マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（http://blog.lucanian.net/archives/50368862.html）を修正・加筆し移転したものです。
Posted by Luca at 22:19
│
│
2006年02月19日 - スパイウェア（Spyware）対策と駆除
スパイウェア（Spyware）対策と予防
スパイウェアについて備え、万が一感染した場合にその被害を最小限とするには、どうしたらば良いのだろうか。
それらについてじっくりと考えてみたい。
スパイウェアに限らず多くのマルウェアの感染を予防するためには、従来より以下のような対策が推奨されている。
- Windows Updateを行い、OSを最新の状態に保つ。
- ブロードバンドルーターを導入：ブリッジ型よりもルーター型のADSLモデムの方が望ましい。これはNATにより外部よりの攻撃をブロックできる可能性があるからだ。
- アンチウイルスソフトを導入し常に最新の状態に保ち、なおかつ常駐監視機能を有効にする：これにより（もしも仮に）マルウェアそのものを検出できなかったとしても、それを導入させようとする試みをブロックできる可能性がある。
- Internet Explorerの設定を適切なものとする。
- 管理者権限の無いユーザーアカウントを利用：WindowsXPにはAdministrator権限がありソフトウェアのインストールや設定の変更ができる「コンピュータの管理者」と、そのような操作ができない「制限」の2種類のユーザーアカウントがある。ソフトウェアをインストールするなどの際には「コンピュータの管理者」、普段使いには「制限」ユーザーアカウントを利用すれば、突発的な事態でのインストールや設定の改変を予防できる。子供やまた十分な対応ができない家族には、Administrator権限のあるユーザーアカウントを利用させるべきではない。
- スパイウェアやアドウェア対策ソフトの導入：Ad-aware、Spybot Search & Destroyなど（個人的にはこれは、運用のしづらさのため必須とは断言しづらい）。
- パーソナルファイアーウォールの導入：感染を気付かせてくれるきっかけとはなるが、予防に役立つのだろうか・
このような初歩的な対応策として、以下のサイトを推奨したい。一読して損はない内容だ。
■ インターネットセキュリティの基本 ■〜インターネットを始める前に〜（Palm84）
心構えからのスパイウェア対策
スパイウェアの被害を予防するには、マルウェア対策としての視点のみではなく、悪意を見抜く目を育てまた感染時に被害を最小限に留めるよう備えてはどうだろうか。
個人的私見に基づくもので、これが万全とは言えないのだが。日頃より何と無く気になる事柄を。
アンチウイルスソフトを完全には信用しない
あるソフトウェアやファイルをダウンロードしアンチウイルスソフトによりスキャンし、何も検出されなければ安全なのだろうか。それは違う。
不審さを感じるソフトウェアのインストーラーは、複数のアンチウイルスソフトメーカーのオンラインスキャンを利用したらばどうだろうか。これであれば現在インストールされているアンチウイルスソフト以外のメーカーのサービスを気軽に利用できるだろう。
（常駐するアンチウイルスソフトを複数導入するのは止めた方がいい。想定しないような不具合を引き起こし、OSが起動しなくなる例もある）
それでも怪しさを拭えないならば、不審なソフトウェアはインストールなどしない方が利口だ。
ソフトウェアメーカーと販売元、広告を信用しない
ネット上で知ったソフトウェアは、導入する前にその評価を確認した方が良い。まずはそのソフトウェアの名称を検索エンジンで調べ、他のユーザーによる評価を調べるべきだ。
この場合、その配布元企業でのフォーラムにおける賛美や「ユーザーの感謝の声」などは、十分に信頼できるとは限らない。
中立性を求めるため、利害関係の無いフォーラムの評価をまずは確認しよう。
悩ましいのは、悪質なソフトウェアがまともな製品であるように装い、まともな企業であるように装ったサイトまで準備している場合だ（WinFixerは日本語サイトまで公開している）。
また製造元に委託され販売・宣伝を行っている業者が、その製品の瑕疵に気付かず・または知っていながら配布・販売している事例もある。
他にもGoogleのアドワーズ広告に、悪質なソフトウェアの広告が掲載されていた事例。また不思議な例としては世界中より非難されている製品を、アフィリエイト目的で自分のサイトやブログに掲載している者も存在する。
気になるならば、店頭にパッケージが並んでいる製品のみを購入したらばどうだろうか。
どこのサイトであっても全面的に信頼しない
ネット上では、「アダルトサイトや怪しいサイトを閲覧するのは危険なので避けよう」との風説があるのだが。これは正しいのだろうか。
これらのサイトでは高い割合で、リスクが高いのは紛れも無い事実なのだが。
まともなサイト・運営者に悪意が無いサイトであっても、そこに自動的に表示される広告やポップアップより、無断でインストールされる事例がある。
だから「どこであっても信用しない」のがベターだ。
自分で最終的判断を下さない
怪しさを感じ、それをどう評価したらば良いのか判別がつかないようならば、知人や詳しそうな人物に相談し、その意見を仰いだ方が良いだろう。
OKWave（旧称：OKWeb）、答えてねっとなどを利用し質問してもよいだろう。
大切な情報は、適切に管理されていないパソコンより扱わない
ネットカフェやマンガ喫茶・不特定多数が操作するパソコンや信頼できない知人が所有するパソコンからは、IDやパスワードを送信するような操作は控えるべきだ。
職場や不特定多数の人物が関与するネットワークよりは、仕事とは関わりの無い利用は控えよう。悪質な利用者・または信頼に値するのか判断がつかない管理者の存在を、常に意識しよう。
スパイウェアの駆除前には、情報収集
スパイウェアに感染したって？それは大変だ！リカバリーだ！と騒ぐのは、あまりにも過剰な反応だ。
まずは何に感染し、それがどのような被害を及ぼすのかをじっくりと調べよう。
アンチウイルスソフトやスパイウェア対策ソフトによって感染に気付いたのならば、まずはそのメーカーによるサポートページより、どのようなものに感染したのかを調べるべきだ。
（インストールしている対策ソフトより一発でそのページを開ける場合もあれば、そうでは無い場合もあるだろう）
まず注意すべきは、「スパイウェア」のカテゴリ名に対し不安を感じ過剰反応しない事だ。
一部のメーカーは「どうでも良いような下らないもの」に対し、スパイウェアのカテゴリ名で検出する。だから適切に対応するためには、感染しているマルウェアがどのようなものなのかをじっくりと調べ判断するべきだ。
（判断がつかないならば、より詳しい知人に相談し、どの程度のリスクが存在するのかを聞いても良いだろう）
対策ソフトメーカーの情報は、常に正確とは限らない
同じ悪質なソフトウェアであっても、メーカーにより検出名が異なるのは毎回毎回よくある話だ。ややこしい話なのだが、同じメーカーの情報であっても同一のファイルであったとしても、対策ソフトウェアのバージョンや定義ファイルにより、検出名は時に異なる。
更にややこしい話なのだが。悪質なソフトウェアは常に同一のものばかりが配布されているとは限らない。バージョン違いのために検出名が異なったり、それでも同じ検出名であったり、全く違うマルウェアと混同されるのもまたよくある話だ。
よくある勘違いなのだが。あるスパイウェアが「とあるオンラインゲームのIDとパスワードを抜く」、また「（あるクレジットカード会社の）情報を抜き取る」などとの情報を誤解し、このようなサービスを利用していなければ安全と思い込むのは早計だ。
たまたま同じ検出名であったとしても、抜き取る情報は違いより深刻な危害を及ぼす可能性は否定できない。
また被害報告があった会社と別の会社が発行したクレジットカードを利用していたとしても、その情報が抜かれないとは言い切れない。
対策側が提示する情報を読み解く
メーカーの対策ページに記載されている情報から判断するとして、それほどのリスクが無いと判断できる項目としては、このようなものだ。
- 広告を表示する
十分な判断材料とならないものは、以下のようなものである。 これらは被害が及ぶ範囲を判断できる材料ではないからだ。
- わかりづらい利用許諾説明書、また不十分な説明でインストール
- ツールバー、ブラウザヘルパーオブジェクト、ブラウザハイジャッカー：メーカーにより記載や判断が分かれ、検出名が異なる項目。その点で全てのものが悪いのではなく、また安全ではない。
極めてリスクが高いのは、以下のものである。危険性が高い理由は、個人情報や金銭に関わる情報、企業での経済活動に関わる情報などの漏洩は、被害の程度が無限大と言ってしまっても過言ではないからだ。更には「何をされたのか・され得るのかがわからず最悪の事態を想定し対応した方が利口」との点だ。
このような場合はそのリスクに応じて慎重に対応し、万が一完全に駆除できなかった場合にはリカバリーしOSを初期化した方が良いケースもあるだろう。
- バックドア・リモートアクセスツール：これらに感染し「外部の誰か」から操作される状況であったならば、どのような操作や改変を加えられているのか、被害の範囲が想定できないからだ。
- ダイヤルアップ接続のIDとパスワードを取得：最近ではあまり見かけないのだが、第三者が悪用する可能性がある。
- メール・msnや何かのオンラインサービスのIDとパスワードを抜く
- クレジットカードの番号を取得
- 他のプログラムをダウンロードし無断でインストールする
- メールで送受信した内容を漏洩
- キーロガ。キーストローク情報を漏洩する
スパイウェアを駆除するためのチェック項目
アンチウイルスソフトにより駆除する際には、メーカーが提示している情報をよく読んでから実行してもらいたい。また同じような症例の被害者の情報がネット上に書き込まれているやもしれないので、検索エンジンで情報を集めて慎重に対処しよう。
極めて稀には、コントロールパネルのプログラムの追加と削除からアンインストールしたらば、OSの動作に不具合が生じるものもある。これはマルウェア配布社の仕返しか逆恨みなのだろうか。このようなケースはほとんど無いので、さほど心配は必要無いのやもしれないのだが。自分は何とも言いづらい。
スパイウェアなどを削除した後には、レジストリを手動で修正する必要が生じる場合もあるだろう。その際にはくれぐれも慎重に実行してもらいたい。万が一とんでもない操作、例えばレジストリ全体や極めて重要なキーを削除すれば、OSが起動しなくなる場合もあるだろう。
削除した後に、またいつの間にか勝手にインストールされているとの事例をよく見かけるのだが。これは対策ソフトでは検出できなかった何かが潜んでいる可能性がある。
アンチウイルスソフトは最新の状態だろうか？
アンチウイルスソフトの動作を妨害するような、悪質なソフトウェアが入り込んでいないか？
特定のファイルやレジストリエントリを隠蔽するようなルートキット（Rootkit）に感染していないか？
OSを通常起動した際には検出できず・また削除できないものも存在する。そのような可能性を考え、セーフモード で ウイルススキャン（Palm84）のような方法が求められる場合もあるだろう。
複数のアンチウイルスソフトをまとめてインストールすると、とんでもない不具合が生じ、場合によってはOSが起動しなくなるなどの不具合が生じる可能性がある。そのため現在インストールされているアンチウイルスソフト以外の製品を利用するならば、まず一旦アンインストールする・他のメーカーのオンラインスキャンを利用するよう注意してもらいたい。
稀には、マルウェアではないまともな商業用ソフトウェアが悪用されている場合もある。これらはアンチウイルスソフトによっては検出対象とされていないため、見逃す可能性もあるだろう。
事後に行うべき事
そのパソコンに保存されている・または入力した情報のうち、リスクが高いものへは速やかに対応するべきだ。
メール・オンラインゲーム・msnなどのパスワードは、変更した方が良いだろう。しかし変更操作は完全に安全が確認されたパソコンより・または電話にて行う必要がある。
クレジットカードのVISAなどやオンラインバンクを利用している銀行には、リスクを感じたならばパソコンよりのスパイウェアの駆除を待たずにすぐに、電話で相談しどのような状況なのか説明するべきだ。第三者による引き落としや悪用を防ぐため、躊躇せず相談しよう。
関連記事
子供とスパイウェア、個人情報
スパイウェア（Spyware）の解説と定義、概論
マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
Posted by Luca at 19:59
│
│
2006年02月18日 - FTCは悪質なアドウェア・スパイウェア業者と広告代理店の企業名を晒すのか？
FTCとスパイウェア・アドウェア配布業者との戦い
CNET Japanにて、Federal Trade Commission (FTC：米連邦取引委員会)が悪質な業者の名称を晒すとの記事があったので、紹介する。
悪質な広告用ソフトウェアを使った宣伝活動を続ける企業は、知らぬ間に米連邦取引委員会（FTC）に社名を公表され、恥をかかされる可能性がある。
Leibowitzは、消費者のPCに密かにインストールされるアドウェアやスパイウェアを使って宣伝活動をする企業の名前を、FTCは公表することになるだろうと述べる。
Anti-Spyware Coalitionのイベントでは、数名の参加者からLeibowitzの案は妙案だとの称賛の声が上がった。しかし、ネット広告サービス業界の業界団体Network Advertising Initiative（NAI）のエグゼクティブディレクターTrevor HughesはLeibowitzの案を「過激な行動」と表現した。
Hughesは、「世間には、自社の広告がどこに表示されているのか理解していない善意の広告主もいる」と述べた上で、「それらの広告主に恥をかかせるのは簡単だが、それではこの問題は解決しない」と付け加えた。
Hughesは、オンライン広告の扱われ方の方がより深刻な問題だと指摘した。多くの企業は第三者企業に宣伝活動を任せており、その第三者企業がさらに他の企業に委託し、結果的に広告が表示されるまでに多くの人々や企業が介入している。
FTCはアドウェア企業を公表すべきか--悪質な宣伝活動の対策に賛否両論（CNET Japan）
Anti-Spyware CoalitionについてはAnti-Spyware Coalitionとスパイウェアの定義及びASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義にて紹介したので、興味があるならば閲覧していただきたい。
ありていに要約してしまえば、米国の政府機関であるFTCの手により、悪質なアドウェア（Adware）やスパイウェア（Spyware）配布業者の名前を公開し晒す事により、企業に恥をかかせ（public shaming）、これにより消費者を結果として保護できるのではないかとの主旨だ。
FTCだからこそできる事 - 政府機関は最強？
どうも見落とされそうな視点なので、一応解説しておく。何故にFTCがこのような役割を求められているのか、これについて少し論じたい。
ASCが設立されマルウェアの定義が定められた経緯を思い返してもらいたい。これに求められた役割は、アンチウイルスソフトメーカーなどがアドウェアやスパイウェアを検出対象とし駆除させた場合、その配布者より「よくもうちのソフトを駆除させたなぁ！」との逆恨み的訴訟リスクを回避するための、マルウェア（Malware：悪質なソフトウェア）の判断基準を定めるためのものだった。
マルウェア配布業者が対策ソフトメーカーを脅迫したり、また検出対象より外すよう要求した事例として、Gator（現：Claria）が自社のスパイウェアを「スパイウェアと呼ぶな」と訴訟をちらつかせた例とか。Lawsuit against Zone Labs dropped by 180solutions（ZD Net）での180 Solutionsとか。日本国内で有名な例ではJWordとトレンドマイクロ社（ウイルスバスター製造元）などの事例がある。
アンチウイルスソフトメーカーなどの企業が訴訟リスクを抱え込むのは、大変難儀な事態である。エンドユーザーの感覚では、正しい事をやってるならばドンドンやれー！と応援したくなるものなのだが。文言の扱いや定義についてイチャモンをつけられるのは、対策ソフトメーカーとしては金銭面その他でのリスクは高い。できれば避けたい、と。
そのために対策側サイドよりの定義に関する共通見解を得て、それに従い活動し、イチャモンをつけられる余地を低減させる。これがASCによる
（Symantec社はかなりチャレンジングな姿勢で、グレーウェアをガツガツと検出対象としている）
ではFTCは？
FTCはこれまでも何度か悪質なマルウェアを告発したりと、積極的に悪質なマルウェア配布者に対して戦いを挑んでいる。一例としてFTC、スパイウェア・アサシン（Spyware Assassin）を摘発などだ。
FTCは企業ではなく米国の公的機関である。悪質な業者より逆恨みにて訴えられても、金銭的なリスクは皆無だろう。訴訟にてかかる経費はそれこそ米国の国家予算がバックにあるのだし。
更には、FTCは特定の対策ソフトメーカーへの肩入れなり偏向が見受けられるような民間団体ではない。個人やエンドユーザーが運営主体のフォーラムにありがちな「情報の信憑性に対する疑問」を感じさせないだろう。
わかりづらいって？では身近な例に置き換え、簡単に説明する。
「ある健康食品は危険」と個人が何かが著書の中で・また消費者団体がビラで訴えても、どこまでそれが信頼できる情報なのかは、限界があるものだ。
場合によってはそのような主張そのものが十分な検証を重ねているのか否かとは別次元で、信憑性を兼ね備えないものだし。
だが厚生労働省が「この健康食品は有害だ！」と判断し製品名を公表したらば、その主張は相応の権威を兼ね備え、そして説得力を持つ。
更にはそれを引用する側の主張にも十分な説得力が備わるし、逆恨みによる名誉毀損などの題目よりの訴訟を回避できるだろう。
WhenUの英断
閑話休題。このCNET Japanの記事は元記事の一部のみを翻訳し掲載したものなのだな。元の英語版記事にて掲載されているWhenU関連の部分が「何故か」バッサリと削除されている。折角なので紹介しよう。
AzoogleAds used to display many of its ads through adware, including software from WhenU.
Bill Day, chief executive officer of WhenU, also agreed that public humiliation might work to root out the bad actors in his industry.
WhenU's software is installed on about 12 million PCs.
The ad-serving software is bundled with about 80 other applications, including the BearShare peer-to-peer file-sharing application.
For such applications WhenU enables the publishers to make some money while delivering the software at no cost to users, Day said.
WhenU claims to have cleaned up its act and has abandoned the practices of paying third-party distributors for each installation of its software, essentially promoting surreptitious installs of its application.
Advertisers may face public humiliation over adware（CNET）
以下、和訳。
AzoogleAdsは、WhenUからのソフトウェアを含めてアドウェアにより、多くの広告を表示したものだ。
WhenU の最高経営責任者であるBill Dayもまた、そのような公共での辱め（企業名の公開の意味）に同意し、それは彼の産業（アドウェア業者）において悪い行いをする者を根絶する機能となるやもしれない。
WhenU のソフトウェアは、約1200万台のパソコンにインストールされている。
AdwareはBearShareファイル交換ソフトを含め、およそ80の他のソフトウェアにバンドルされている。
そのようなアプリケーションのためにWhenUは、代価を払わないユーザーにソフトウェアを配布する際に、ソフトウェア配布者に幾許かの金銭を得られるようにする、とDayは言う。
WhenUは行いをクリーンアップしたと主張し、そのアプリケーションを秘密裏にインストールさせるようなサードパーティのディストリビューター（WhenUのソフトウェアの配布を請け負う広告代理店等）へ、ソフトウェアのインストールごとへの支払い業務を断念した。
*多少意訳ですが。悪質な広告代理店が介在しWhenUバンドルソフトが説明も了解も無く配布される状況を止めさせた、の意味。
この英断？が、果たして本心なのか否かは判断がつかないのだが。
彼らは何かを失い、そして得たのだろう。そしてそれは消費者にとって有用な結果となったのは間違いないだろう。そんな気がする。
アドウェアやハイジャッカーと言えば、Claria（旧称Gator）や180 Solutionsなども有名なのだが。180 Solutionsについては後日。
関連記事
FTC、スパイウェア・アサシン（Spyware Assassin）を摘発
マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義
Posted by Luca at 22:19
│
│
2006年02月17日 - アンチスパイウェアソフトの性能・検出力評価と認証、Spywaretesting.org・ICSA Labs
スパイウェア対策製品の評価
アンチウイルスソフト・ウイルス対策ソフトウェアの検出力は、Virus BulletinやICSA Labsなどの団体または個人により検証されレポートされている。これらの外部評価により「その製品が信頼に値するのか否か」が判断される。
また海外・国内のフォーラムにては、各種アンチウイルスソフトの機能面や性能・取り扱いの容易さ・スキャンに要する時間・そして検出力が「口コミ」として投稿され、それらの情報はユーザーが製品を購入する際に何らかの判断基準とされるのだろう。
では、アンチスパイウェアソフトではどうだろう？
実際のところ、自分はこれまでアンチスパイウェアソフトに関する検出力評価をレポートしている公的な団体を全く知らないのだ。
エンドユーザーがアンチスパイウェアソフトを購入するに当っての判断基準は、せいぜい「有名」とか「どこどこで推奨されていた」とか、そんなものだろう。
そのためか明らかにインチキ・検出力が極めて低いスパイウェア対策ソフトであっても、「まともそうに見えれば」「Google検索でのアドワーズ広告で表示されれば」、それが信頼できる製品であると誤解したユーザーが導入した事例も多々見受けられる。
自分ならば知人にどの製品を薦めるかと問われれば、（検出力が常に100%か否かは置いておいて）まずはそのスパイウェア対策ソフトメーカーが十分に信頼できるメーカーなのか否かをもって判断している。
しかしこのような口コミによる評価が、どれだけ中立的かつ公正なものかと問われれば、それは疑問だ。いずこかの機関にてこのような認証を行い評価してくれれば、どれだけ多くのエンドユーザーの利益につながるのだろうかと、密かに望んでいたのだよ。
Spywaretesting.orgと、スパイウェア対策ソフト評価
2006年01月31日のITmediaの記事にて、いよいよ待ち焦がれていた団体がスタートしたのか！と期待したんだが。
セキュリティベンダーのMcAfee、Symantec、Trend Micro、ICSA Labs、Thompson Cyber Security Labsが1月30日、スパイウェア対策技術の評価基準を策定するための業界団体を設立した。
加盟各社は今後、ウイルス対策において共通の命名規則やベストプラクティスなどで協力してきた経験を生かし、取り組みを進めていく。スパイウェアの定義はスパイウェア対策団体Anti-Spyware Coalition（ASC）が策定したものを使用し、ASCと協力していくという。
この団体のテスト手法とベストプラクティスはwww.spywaretesting.orgに掲載されている。
Symantecなど、スパイウェア対策製品の評価基準を策定へ（ITmedia）
このSpywaretesting.orgのPartnerは、ICSA Labs・McAfee, Inc.・Symantec Corporation・Thompson Cyber Security Labs・Trend Micro, Inc.の5つなのだが、どうも引っかかる。
このSpywaretesting.orgなる団体は、対策ソフトを販売しているメーカーからの中立性を、果たしてキープし得るんだろうか。Anti-Spyware Coalition（ASC）とはどうも印象がかけ離れている。
この団体で配布している「Anti-Spyware Testing Best Practice index.pdf」を眺めてみよう。
テストの範囲を定め、テストファイルをテスト前に3つのグループに区分けするよう強く推奨される、と記述されているのだが。どうもグループのカテゴリ分けにおける基準がよくわからないな。Group IとIIはそれぞれ、極めて深刻なリスクのようだが。
Group I
以下の挙動のスパイウェアプログラム
・キーロガー（Keystroke Logging）
・スクリーンスクラッピング（Screen Scraping）
・システムへのトロイ行為（Trojanization of the sytem）
事前に危険性を確かめられ導入されたアドウェア（Adware that introduces a certain pre-defined risk level）
Group II
境界例のセキュリティリスクカテゴリ
・バックドアプログラム（Backdoor programs）
・ボットネット（Botnets）
・ボット・ゾンビ感染マシン（Drones）
・無許可のダイヤラー（Unauthorized Dialers）
・ハイジャッカー（Hijackers）
・ルートキット（Rootkits）
・ダウンローダー（Tricklers(Downloaders)）
Group III
カテゴリ以外の潜在的なもの
・ハッキングツール（Hacker Tools）
・ジョークプログラム（Joke Programs）
・クッキー（Cookies）
・アドウェアの幾つか（Some adware programs）
Anti-Spyware Testing Best Practice index（Spywaretesting.org）（http://www.spywaretesting.org/metadot/index.pl）
思い返してもらいたいのだが、この文書の名称は「スパイウェア対策テストの最善の試み」である点だ。どう見てもこれらは（狭義・広義でも）スパイウェアではないものを複数含む。
Anti-Spyware Coalition（ASC）の定義に従うとの報道があったものの、ASCはこのような（広義の）スパイウェアの解釈には積極的に賛同はしていない。
またこの文書では、単純に対応しているマルウェアの数の多寡にて、スパイウェア対策製品が優れているのか否かを意味しないとする。これについてはアンチスパイウェアソフトはそれぞれ製品ごとに異なる方法にて検出し修正するものの、アンチスパイウェア製品は幾つかのファイルあるいはレジストリエントリを削除しないものであり、スパイウェア対策製品は正確さをユーザーに示すべきであると言及している。
その部分は全面的に歓迎。あえてどことは言わないが、ありえないんぢゃ？と思われるほどのマルウェア対応数を謳う製品とかがありますが。そのような「対応数の多さ」よりも「しっかりと・確実に駆除されるのか否か」との視点は、文中にもあるが消費者の信頼を得るには不可欠なものだろう。
そう言えばアンラボ社スパイゼロとシグネチャ対応数の謎、今はどうなっているんだろうか。
ICSA Labsによるアンチスパイウェアソフト認証制度 - Desktop Anti-Spyware Certification
2006年02月15日、同月7日のICSA Labs絡みのニュースがIT Proに掲載されたのだが。
セキュリティ・ベンダーである米Cybertrustの研究機関である「International Computer Security Association Lab（ICSA Labs）」はこのほど，米Fortinetの「FortiClient Host Securitynet」，米McAfeeの「McAfee VirusScan Enterprise 8.0i」と「McAfee AntiSpyware Enterprise Module」の組み合わせ，米Symantecの「Symantec AntiVirus Corporate Edition 10.0」という3つのスパイウエア対策ソフトが，ICSA Labsによるスパイウエア対策ソフト認証「Desktop Anti-Spyware Certification」を取得したと発表した。
Desktop Anti-Spyware Certificationは，スパイウエア対策ソフトが本当に有効かどうかをICSA Labsが認証する制度。
McAfeeやSymantecの製品が「スパイウエア対策ソフト認証」を取得（IT Pro）
ICSA Labsはアンチウイルスソフトの評価にて、有名な団体なのだが。
Desktop Anti-Spyware Certificationとは、どのような認証制度なのだろうか？
ICSALabsのDesktop Anti-Spyware Certification （ICSALabs）、Latest News and Eventsより「February 7, 2006 - ICSA Labs Announces Results of New Desktop Anti-Spyware Certification Testing Program（直リンでは開けない）」を読んでも、この認証制度について・またテストの内容については言及されていない。
前述のSpywaretesting.orgの「Anti-Spyware Testing Best Practice」と深い関わりがあるようなのだが。
マカフィーとシマンテック製品はAnti-Spyware Certified Products
（ICAS Labs）にて掲載されているように、スパイウェア対策ソフトとして本当に有効なソフトウェアとして認証されたのだが。
Spywaretesting.org加盟企業であるトレンドマイクロ社の製品はどうなったのだろうか。ちなみに近年トレンドマイクロ社はスパイウェア対策ソリューションとして、スパイバスター2006なる製品をリリースしたのだがな。どうも判断がつかないので、今後の経緯を見守りたい。
まぁそれは置いておいて。
マカフィー・シマンテックがスパイウェアに対して「ボチボチと」対応したのは、せいぜいここ3年。これらはスパイウェア対策製品としてではなく、アンチウイルスソフトの「おまけ機能」的な役割だった。つまり以前は、大手アンチウイルスソフトメーカーはアドウェアやスパイウェアにはほとんど対応しておらず、ほぼ野放しだったのだ（現在では積極的に対応しているのだが）。
メジャーなアンチウイルスソフトが対応していないマルウェア（アドウェア・スパイウェア等）に対し、Ad-awareとSpyBotの2つが長らく活躍。多くのユーザーの信頼を得て、そして十分な実績を重ねてきたのだが。
何故にこれまで十分な実績があるスパイウェア対策ソフトを差し置いて、メジャーなアンチウイルスソフトをアンチスパイウェアソフトとして認証するのだろうか？
今後の展開をじっくりと見守りたい。
関連記事
マルウェア対策ソフトの件出力及び性能評価、そして「信頼できる製品」なのか
ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義
Posted by Luca at 22:45
│
│
2006年02月12日 - Windowsのレジストリ（Registry）におけるハイブ構造とSID
レジストリはWindows OSやアプリケーションなどの各種設定を一まとめにし、統括的に管理するものである。Windowsの仕組みをより深く理解するためには、このレジストリについての知見は欠かせず、そして必須のものである。
レジストリの編集はWindowsのカスタマイズや最適化・またウイルス感染後の修復作業など様々な場面にて求められる操作である。
通常はWindowsのレジストリエディタより操作するのだが。Windows2000/XPで・またXP HomeEditionとProfessionalで設定が異なったり、また正しい設定をしたにも関わらず何らかの理由で反映されなかったり、極めて稀には手動で削除した値が（何故か）再作成できなくなる場合もある。そのためレジストリの編集には最大限の注意を払い、そして自己責任で行ってもらいたい。
また断りが無い限りは、ドメインではなくWorkgroup構成でセットアップされたWindows XPを対象とし掲載する。
さて、レジストリのハイブ構造（Hive Structure）とハイブファイルを本格的に説明すればあまりにも冗長な内容となるので、簡単に。
レジストリの実体は（一部を除き）ハイブファイルと呼ばれるファイルである。レジストリエディタにて目にするレジストリは、ハイブファイルをロードしたものである。
なおレジストリの構造上での「ハイブ」と、世間で言う所の「ハイブ（ファイル）」は混同しないよう注意を払う必要がある。
ここではレジストリ構造（Microsoft）また英語版のRegistry Overview（Microsoft）を元にして説明する。
マイクロソフトが例示した[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]を見てみよう。
まずレジストリエディタの左ペインより。
「HKEY_LOCAL_MACHINE」はサブツリー（Subtrees）とMicrosoftは表記しているが、ルートキーなどの名称で扱われる場合もある。
「SYSTEM」は「キー（Keys）」。
「CurrentControlSet」と「Control」はサブキー（Subkeys）、つまりキーに格納されるからサブキーなのだが。ネット上の情報ではサブキーをキーと呼ぶ例もあり、時にキーとサブキーの区分けは明瞭ではない。
サブツリーはHKEY_CLASSES_ROOT、HKEY_CURRENT_USER、HKEY_LOCAL_MACHINE、HKEY_USERS、HKEY_CURRENT_CONFIGの5つとなる。
どこまでがキーでどこからがサブキーなのか。これはMicrosoftの文書でも扱いが異なる例がある。ポリシー レジストリ エントリ (デフォルト ユーザー)（Microsoft）にてはHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policiesがキー、Explorerをサブキーとして取り扱っている。
ではレジストリエディタの右ペインを。
ここに表示されるDWORD値やバイナリそのものは、「値エントリ（Entries）」である。
値エントリそれぞれの名称は「エントリ名（Entry names）」。これのタイプは「データ型（データタイプ：Data Types）」、また値エントリに設定された値は「値（Values）」である。
「値を作成・設定し」などのガイドを読み違え、エントリ名と値を混同するミスが散見される。レジストリを編集する際には気をつけてもらいたい。
データ型（データタイプ）としてはREG_SZ（文字列値）、REG_BINARY（バイナリ値）、REG_DWORD（DWORD値）、REG_MULTI_SZ（複数行文字列値）、REG_EXPAND_SZ（展開可能な文字列値）の5つが代表的なのだが、これ以外にもREG_FULL_RESOURCE_DESCRIPTO（？）やREG_UNKNOWN（？）などマイナーなものも存在する。
さて、ここで一つ謎が残る。[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]及びその下位に格納された値エントリと値までを含め、何と呼ぶのだろうか？
マイクロソフトはこれを「ハイブ（Hives）」と呼ぶ。
これには以下のような議論も存在する。つまりツリー構造を指す用語なのか、また個別の内容を指すのかと。
ちなみに自分は値エントリの値までを含めた（構造ではなく）内容を、レジストリエントリ（Registry Entries）と呼んでいる。
詳しく後述するが、レジストリはハイブファイルを元に作成され、もしくはそれを更にコピーしエイリアス（複製）として作成される。つまり「実体となるハイブファイルが存在する」のだ。
例外としてHKEY_LOCAL_MACHINE\Hardwareはハードウェア環境に基づきOS起動時に作成される、動的なレジストリのキーである。言い換えればこれは「ハイブファイルが存在しないレジストリキー」なのだ。
そのような理由にてHKLM\Hardwareは「ハイブ」ではないとの説があったはずなのだが、Microsoftのサポート技術情報などを探したものの、そのような記載が見つからない（どなたかご存知だろうか？）。
（evtファイルはハイブファイルではないとされる場合もある。これはイベントビューアにて内容を確認できる。）
以下に5つのサブツリーを示す。大まかな言い回しをすればこれらのうち3つはエイリアス（コピー）であるため、実体があるのはHKU、HKLMの2つとなる。
なおエイリアスの内容を編集すれば、元の（コピー元となっている）レジストリにおけるハイブファイルの内容も変更されるだろう。
HKLM\Software\ClassesとHKCU\Software\Classesをコピーしたもの。大部分はHKLMの方に格納されており、後者はほぼ空である。
ファイル形式の関連付けなどの情報を格納。
稀にこの関連付け情報を改変し、exeファイルやcomファイルの起動を妨害するウイルスが存在する。これに対しSymantec社は「shell\open\command レジストリキーのリセットツール」を公開している。これはHKLM\Software\Classesへ登録されているbat、com、exe、pif、reg、scrファイルの関連付けを初期値へ修正するものだ。
また「HKEY_CLASSES_ROOT\*file\shell\open\command」の値エントリの値として登録されているアプリケーションをウイルスの実行ファイルに変更し、テキストや画像ファイルを開くたびにウイルスが起動するよう改変される例もある。
システム・ハードウェア関連情報を含む。SystemハイブファイルはOS起動時に読み込まれる。
ユーザごとのWindowsやソフトウェアの設定に関する情報。ハイブファイルはユーザーのログイン時に読み込まれる。
作成したユーザーアカウントのうち、ログオンしていないアカウントのユーザープロファイルは通常は表示されない。言い換えると、他のユーザーアカウントのレジストリは「通常は」レジストリエディタよりは閲覧も編集できない。
HKEY_USERS（HKU）における、現在ログオン中のユーザーレジストリプロファイルと\.Defaultとの内容を統合したもの
ログオン中ユーザーアカウントの、Windowsやソフトウェアの設定に関する情報。ユーザープロファイルに関係する。
C:\Documents and Settings\username\ntuser.dat、及びC:\Documents and Settings\username\Local Settings\Application Data\Microsoft\Windows\UsrClass.datが相当する。バックアップファイルはそれぞれntuser.dat.LOGとUsrClass.dat.LOGである。
HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Currentの中身のエイリアス（コピー）
現在のシステム・ハードウェア環境を反映する
Windows内部では、ドメイン名やワークグループ名とユーザーアカウント名は、SID（security identifier：セキュリティ識別子）にて管理される。
SID（セキュリティ識別子）には2種類の表記法がある。How to convert the SDDL form of an SID to a SAM account name （Microsoft）にては「S-」で始まる文字列（similar to s-x-x-x-x）をSDDL形式（Security Descriptor Definition Language form）、「domain\username」をSAM アカウント名形式（Security Accounts Manager account name form.）と記載している。とりあえずこの場にて以降SIDとは、SDDL形式のものを指すとする。
SAMアカウント名形式とSDDL形式の違いを実感したいかい？Windows2000/XP Professionalにて、USBメモリーキーをワークグループ構成でセットアップしたパソコンにてNTFSフォーマットし、アクセス権を設定してもらいたい。これを他のパソコンにてアクセス権の設定操作を行おうと試みれば、先ほどのパソコンにて表示されていたユーザーアカウント名が数字の羅列になっているのに気付くだろう。
SIDは一意の数字であり、他のユーザーアカウントとは重複しない数字がユーザーごとに割り当られる。
ユーザーアカウント削除後に同じ名称のアカウントを作成したとしても、SIDは別の値が設定されるので、Windowsはこれを混同しないだろう。
なおSIDを変更するツールも存在する。
レジストリエディタよりHKEY_USERSを開けば、幾つかのセキュリティ識別子（SID）が表示されているだろう。Windows XPでの例を以下に示す。
この場合、S-1-5-21-a-a-a-aaaaを除く5つはビルトインSID（Windows OSにより予め自動的に作成されるもの）である。どのようなビルトインSIDが作成されるのかは、セットアップした環境により異なるだろう。
マイクロソフトはセキュリティ識別子についてこのように説明している。
つまり1000、1001などがユーザーアカウントの相対 ID (RID)となる。新しいユーザーアカウントを作成したらば、それに対応する数字はどんどん増えていくだろう。
（500はユーザーアカウントIDだが相対IDではないだろう）
SID関連情報として詳細な情報を知りたいならば、これらを参照してもらいたい。
セキュリティ識別子（Microsoft）
Windows サーバー オペレーティング システムの既知のセキュリティ識別子（Microsoft）
オブジェクトを識別するSIDとは？（＠IT）
Windows XP インストールのディスク複製に関するマイクロソフトの方針（Microsoft）
現在登録されているSIDのどれがどのユーザーアカウントに対応するのかを確かめるには、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileListを開き、この中に登録されているSIDを開き、ProfileImagePathよりDocument and Settings以下のユーザーアカウント名を取得すればよい。
ウイルス・スパイウェア感染とWindowsのレジストリ（Registry）
レジストリの編集はWindowsのカスタマイズや最適化・またウイルス感染後の修復作業など様々な場面にて求められる操作である。
通常はWindowsのレジストリエディタより操作するのだが。Windows2000/XPで・またXP HomeEditionとProfessionalで設定が異なったり、また正しい設定をしたにも関わらず何らかの理由で反映されなかったり、極めて稀には手動で削除した値が（何故か）再作成できなくなる場合もある。そのためレジストリの編集には最大限の注意を払い、そして自己責任で行ってもらいたい。
また断りが無い限りは、ドメインではなくWorkgroup構成でセットアップされたWindows XPを対象とし掲載する。
レジストリとハイブ（hive）・ハイブファイル
さて、レジストリのハイブ構造（Hive Structure）とハイブファイルを本格的に説明すればあまりにも冗長な内容となるので、簡単に。
レジストリの実体は（一部を除き）ハイブファイルと呼ばれるファイルである。レジストリエディタにて目にするレジストリは、ハイブファイルをロードしたものである。
なおレジストリの構造上での「ハイブ」と、世間で言う所の「ハイブ（ファイル）」は混同しないよう注意を払う必要がある。
レジストリの構造と名称、ハイブ（Hives）
ここではレジストリ構造（Microsoft）また英語版のRegistry Overview（Microsoft）を元にして説明する。
マイクロソフトが例示した[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]を見てみよう。
まずレジストリエディタの左ペインより。
「HKEY_LOCAL_MACHINE」はサブツリー（Subtrees）とMicrosoftは表記しているが、ルートキーなどの名称で扱われる場合もある。
「SYSTEM」は「キー（Keys）」。
「CurrentControlSet」と「Control」はサブキー（Subkeys）、つまりキーに格納されるからサブキーなのだが。ネット上の情報ではサブキーをキーと呼ぶ例もあり、時にキーとサブキーの区分けは明瞭ではない。
サブツリーはHKEY_CLASSES_ROOT、HKEY_CURRENT_USER、HKEY_LOCAL_MACHINE、HKEY_USERS、HKEY_CURRENT_CONFIGの5つとなる。
どこまでがキーでどこからがサブキーなのか。これはMicrosoftの文書でも扱いが異なる例がある。ポリシー レジストリ エントリ (デフォルト ユーザー)（Microsoft）にてはHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policiesがキー、Explorerをサブキーとして取り扱っている。
ではレジストリエディタの右ペインを。
ここに表示されるDWORD値やバイナリそのものは、「値エントリ（Entries）」である。
値エントリそれぞれの名称は「エントリ名（Entry names）」。これのタイプは「データ型（データタイプ：Data Types）」、また値エントリに設定された値は「値（Values）」である。
「値を作成・設定し」などのガイドを読み違え、エントリ名と値を混同するミスが散見される。レジストリを編集する際には気をつけてもらいたい。
データ型（データタイプ）としてはREG_SZ（文字列値）、REG_BINARY（バイナリ値）、REG_DWORD（DWORD値）、REG_MULTI_SZ（複数行文字列値）、REG_EXPAND_SZ（展開可能な文字列値）の5つが代表的なのだが、これ以外にもREG_FULL_RESOURCE_DESCRIPTO（？）やREG_UNKNOWN（？）などマイナーなものも存在する。
さて、ここで一つ謎が残る。[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]及びその下位に格納された値エントリと値までを含め、何と呼ぶのだろうか？
マイクロソフトはこれを「ハイブ（Hives）」と呼ぶ。
これには以下のような議論も存在する。つまりツリー構造を指す用語なのか、また個別の内容を指すのかと。
文献などによっては、特定のキーとサブキーで識別される一連の値を指して「ハイブ」と呼んでいるものもあるようだが、本来ハイブとは、このようにレジストリの内部的な構造を指す用語であり、このような使い方は厳密には正しくない。
＠IT：Insider's Computer Dictionary [ハイブ]
ちなみに自分は値エントリの値までを含めた（構造ではなく）内容を、レジストリエントリ（Registry Entries）と呼んでいる。
ハイブファイル
詳しく後述するが、レジストリはハイブファイルを元に作成され、もしくはそれを更にコピーしエイリアス（複製）として作成される。つまり「実体となるハイブファイルが存在する」のだ。
例外としてHKEY_LOCAL_MACHINE\Hardwareはハードウェア環境に基づきOS起動時に作成される、動的なレジストリのキーである。言い換えればこれは「ハイブファイルが存在しないレジストリキー」なのだ。
そのような理由にてHKLM\Hardwareは「ハイブ」ではないとの説があったはずなのだが、Microsoftのサポート技術情報などを探したものの、そのような記載が見つからない（どなたかご存知だろうか？）。
変わったハイブファイル
- SAV：Windows OSをインストールした際の情報。何に使われるんだろうか。
- LOG：レジストリの内容が変更された際に、変更点を一時的に保存したファイルであり、その内容は後になってから対応するハイブファイルへ書き込まれる。
- System.alt：Systemファイルの非常用コピー。WindowsNT/2000にはあったが、XPには存在しない。
- AppEvent.Evt：イベントログのアプリケーションログ
- SecEvent.Evt：イベントログのセキュリティログ
- SysEvent.Evt：イベントログのシステムログ
（evtファイルはハイブファイルではないとされる場合もある。これはイベントビューアにて内容を確認できる。）
Windowsにおけるレジストリ（Registry）のツリー構造
以下に5つのサブツリーを示す。大まかな言い回しをすればこれらのうち3つはエイリアス（コピー）であるため、実体があるのはHKU、HKLMの2つとなる。
なおエイリアスの内容を編集すれば、元の（コピー元となっている）レジストリにおけるハイブファイルの内容も変更されるだろう。
HKEY_CLASSES_ROOT（HKCR）
HKLM\Software\ClassesとHKCU\Software\Classesをコピーしたもの。大部分はHKLMの方に格納されており、後者はほぼ空である。
ファイル形式の関連付けなどの情報を格納。
稀にこの関連付け情報を改変し、exeファイルやcomファイルの起動を妨害するウイルスが存在する。これに対しSymantec社は「shell\open\command レジストリキーのリセットツール」を公開している。これはHKLM\Software\Classesへ登録されているbat、com、exe、pif、reg、scrファイルの関連付けを初期値へ修正するものだ。
また「HKEY_CLASSES_ROOT\*file\shell\open\command」の値エントリの値として登録されているアプリケーションをウイルスの実行ファイルに変更し、テキストや画像ファイルを開くたびにウイルスが起動するよう改変される例もある。
HKEY_LOCAL_MACHINE（HKLM）
システム・ハードウェア関連情報を含む。SystemハイブファイルはOS起動時に読み込まれる。
- HKLM\HARDWARE
- これはOS起動時にハードウェアを認識し一時的に作成されるものであり、実体のあるハイブファイルよりロードされるものではない。
- これはOS起動時にハードウェアを認識し一時的に作成されるものであり、実体のあるハイブファイルよりロードされるものではない。
- HKLM\SAM
- C:\WINDOWS\system32\config\SAMが相当。バックアップファイルはSAM.LOG。
- レジストリエディタより操作できず、内容は非表示。
- SAM（Security Account Manager）ファイルには、ユーザー及びグループ関連情報やパスワードのハッシュが含まれる（パスワードそのものが保存されるのではない）。
- パスワードを忘れた際にSAM（ハイブ）ファイルを削除すれば何とかなるとの説があるが、一時的アカウントが作成されるものの、結局どうにもならない。
- C:\WINDOWS\system32\config\SAMが相当。バックアップファイルはSAM.LOG。
- HKLM\Security
- C:\WINDOWS\system32\config\SECURITYが相当。バックアップファイルはSECURITY.LOG。
- レジストリエディタより操作できず、内容は非表示。
- ローカルセキュリティポリシーにおけるアカウントポリシーやローカルポリシー等の設定を格納する。
- HKLM\SAMのコピーを内部に含む。
- C:\WINDOWS\system32\config\SECURITYが相当。バックアップファイルはSECURITY.LOG。
- HKLM\SOFTWARE
- C:\WINDOWS\system32\config\softwareが相当。バックアップファイルはsoftware.LOG。
- Windows OSやインストールされているソフトウェア関連の情報を含む。
- C:\WINDOWS\system32\config\softwareが相当。バックアップファイルはsoftware.LOG。
- HKLM\SYSTEM
- C:\WINDOWS\system32\config\systemが相当する。バックアップファイルはsystem.LOG。
- ハードディスクなどのボリュームを管理するための情報や、システム関連情報を含む。
- C:\WINDOWS\system32\config\systemが相当する。バックアップファイルはsystem.LOG。
- HKLM\SYSTEM\CurrentContlolSet、ControlSet001-3
- CurrentControlSetは現在利用されているハードウェアプロファイルで、サービス関連の設定その他が含まれる。
- ControlSet001-3などは万が一OSが起動しなくなった場合のバックアップと現在の情報である。
- ControlSet001-3の末尾の数字の割り当ては、HKLM\SYSTEM\Selectに記載されている。下図（XP Pro英語版）中のDefault（1）はデフォルトで利用され、Current（1）は現在利用されているコントロールセット、Failed（0）は起動に失敗したコントロールセットがあった場合に1などが記載され、LastKnownGood（2）は前回正常起動時のコントロールセットでバックアップ目的である。しかし時にはこの末尾の数字は入れ替わる場合もある。
- CurrentControlSetは現在利用されているハードウェアプロファイルで、サービス関連の設定その他が含まれる。
HKEY_USERS（HKU）
ユーザごとのWindowsやソフトウェアの設定に関する情報。ハイブファイルはユーザーのログイン時に読み込まれる。
作成したユーザーアカウントのうち、ログオンしていないアカウントのユーザープロファイルは通常は表示されない。言い換えると、他のユーザーアカウントのレジストリは「通常は」レジストリエディタよりは閲覧も編集できない。
- HKU\.DEFAULT
- C:\WINDOWS\system32\config\defaultに相当。新しく作成したユーザーアカウントの雛形・テンプレとなる。
- レジストリだけではなく「C:\Documents and Settings\Default User」中のファイルもまた新規に作成されたユーザーアカウントのためのテンプレートとなる点には注意してもらいたい。際めて稀にこれを汚染するマルウェアも存在する。
- C:\WINDOWS\system32\config\defaultに相当。新しく作成したユーザーアカウントの雛形・テンプレとなる。
- HKU\S-1-・・・・・
- セキュリティ識別子の項目にて後述する。
- セキュリティ識別子の項目にて後述する。
- HKU\S-1-・・・・・_Classes
- HKU\以下の「Classes」が末尾についたSIDはクラス情報関連。
- HKU\以下の「Classes」が末尾についたSIDはクラス情報関連。
HKEY_CURRENT_USER（HKCU）
HKEY_USERS（HKU）における、現在ログオン中のユーザーレジストリプロファイルと\.Defaultとの内容を統合したもの
ログオン中ユーザーアカウントの、Windowsやソフトウェアの設定に関する情報。ユーザープロファイルに関係する。
C:\Documents and Settings\username\ntuser.dat、及びC:\Documents and Settings\username\Local Settings\Application Data\Microsoft\Windows\UsrClass.datが相当する。バックアップファイルはそれぞれntuser.dat.LOGとUsrClass.dat.LOGである。
HKEY_CURRENT_CONFIG（HKCC）
HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Currentの中身のエイリアス（コピー）
現在のシステム・ハードウェア環境を反映する
セキュリティ識別子（SID：Security Identifiers）
Windowsとセキュリティ識別子（SID）
Windows内部では、ドメイン名やワークグループ名とユーザーアカウント名は、SID（security identifier：セキュリティ識別子）にて管理される。
SID（セキュリティ識別子）には2種類の表記法がある。How to convert the SDDL form of an SID to a SAM account name （Microsoft）にては「S-」で始まる文字列（similar to s-x-x-x-x）をSDDL形式（Security Descriptor Definition Language form）、「domain\username」をSAM アカウント名形式（Security Accounts Manager account name form.）と記載している。とりあえずこの場にて以降SIDとは、SDDL形式のものを指すとする。
SAMアカウント名形式とSDDL形式の違いを実感したいかい？Windows2000/XP Professionalにて、USBメモリーキーをワークグループ構成でセットアップしたパソコンにてNTFSフォーマットし、アクセス権を設定してもらいたい。これを他のパソコンにてアクセス権の設定操作を行おうと試みれば、先ほどのパソコンにて表示されていたユーザーアカウント名が数字の羅列になっているのに気付くだろう。
SIDは一意の数字であり、他のユーザーアカウントとは重複しない数字がユーザーごとに割り当られる。
ユーザーアカウント削除後に同じ名称のアカウントを作成したとしても、SIDは別の値が設定されるので、Windowsはこれを混同しないだろう。
なおSIDを変更するツールも存在する。
レジストリエディタよりHKEY_USERSを開けば、幾つかのセキュリティ識別子（SID）が表示されているだろう。Windows XPでの例を以下に示す。
- HKEY_USERS\.DEFAULT
- 新規に作成するユーザーアカウントのテンプレート
- 新規に作成するユーザーアカウントのテンプレート
- HKEY_USERS\S-1-5-18
- Local System（オペレーティング システムにより使用されるサービス アカウント）
- Local System（オペレーティング システムにより使用されるサービス アカウント）
- HKEY_USERS\S-1-5-19
- NT Authority（ローカル サービス）
- NT Authority（ローカル サービス）
- HKEY_USERS\S-1-5-20
- NT Authority（ネットワーク サービス）
- NT Authority（ネットワーク サービス）
- HKEY_USERS\S-1-5-21-a-a-a-500
- Administratorアカウント
- Administratorアカウント
- HKEY_USERS\S-1-5-21-a-a-a-aaaa
- ユーザーが作成したアカウント。
- ユーザーが作成したアカウント。
この場合、S-1-5-21-a-a-a-aaaaを除く5つはビルトインSID（Windows OSにより予め自動的に作成されるもの）である。どのようなビルトインSIDが作成されるのかは、セットアップした環境により異なるだろう。
マイクロソフトはセキュリティ識別子についてこのように説明している。
Windows XP のインストール時には、統計的に一意の 96 ビット数値を含むコンピュータ SID が設定されます。コンピュータ SID は、そのコンピュータ上に作成されるユーザー アカウントとグループ アカウントの SID のプレフィックスになります。コンピュータ SID にアカウントの相対 ID (RID) が連結され、アカウントの一意の識別子が作成されます。
以下に、4 つのローカル ユーザー アカウントの SID の例を示します。新しいアカウントを追加すると、末尾 4 桁の数字だけが増加することに注意してください。
- ローカル コンピュータ上の HKEY_USERS
- S-1-5-21-191058668-193157475-1542849698-500 Administrator
- S-1-5-21-191058668-193157475-1542849698-1000 ユーザー 1
- S-1-5-21-191058668-193157475-1542849698-1001 ユーザー 2
- S-1-5-21-191058668-193157475-1542849698-1002 ユーザー 3
Windows XP インストールのディスク複製に関するマイクロソフトの方針（Microsoft）
つまり1000、1001などがユーザーアカウントの相対 ID (RID)となる。新しいユーザーアカウントを作成したらば、それに対応する数字はどんどん増えていくだろう。
（500はユーザーアカウントIDだが相対IDではないだろう）
SID関連情報として詳細な情報を知りたいならば、これらを参照してもらいたい。
セキュリティ識別子（Microsoft）
Windows サーバー オペレーティング システムの既知のセキュリティ識別子（Microsoft）
オブジェクトを識別するSIDとは？（＠IT）
Windows XP インストールのディスク複製に関するマイクロソフトの方針（Microsoft）
セキュリティ識別子（SID：Security Identifiers）とユーザーアカウントとの対応
現在登録されているSIDのどれがどのユーザーアカウントに対応するのかを確かめるには、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileListを開き、この中に登録されているSIDを開き、ProfileImagePathよりDocument and Settings以下のユーザーアカウント名を取得すればよい。
関連記事
ウイルス・スパイウェア感染とWindowsのレジストリ（Registry）
Posted by Luca at 18:33
│
│
2006年02月06日 - Spyware CleanerのSecure Computer社、インチキ疑惑で訴えられる
Spyware Cleanerのきな臭い話
Spyware Cleanerは海外フォーラムではそこそこ著名なインチキっぽいアンチスパイウェアソフトなのだが、2006年1月末、Microsoftと米国ワシントン州により「やっと」訴えられました。
いずれ暇ができれば試そうとは思っていたものの、先ほどダウンロードしようと試みたらばもう店じまいされているし。無念。
MSとワシントン州、スパイウェア業者を提訴（CNET Japan）
Microsoft、スパイウェア販売業者を提訴（Japan.internet.com）
ワシントン州検事総長のロブ・マッケンナ氏はインタビューに答え、スパムウェア（注意：スパイウェアの誤記と思われる）法違反に加え、同州の「商用電子メールおよび消費者保護法」、さらに合衆国のCAN-SPAM法に違反した容疑でセキュア・コンピュータを告訴したとしている。
「セキュア・コンピュータは、Spyware Cleaner製品を不正で詐欺的な手段で売り込むと同時に、消費者にフリー・スキャンを実行させることでコンピュータのハードディスクに記録されたソリューションを破損させた」（マッケンナ氏）
さらに、製品の虚偽広告に関連して、ジージェン・チェン氏（オレゴン州ポートランド）、セス・トラウブ氏（ニューハンプシャー州ポーツマス）、マノジ・クマール氏（インドのマハラシュトラ州）も訴えられている。
スキャンでは、スパイウェアが存在しなくても検出したように見せかけ、ユーザーにSpyware Cleanerを購入するように指示していた。
マイクロソフトとワシントン州検事総長、スパイウェア対策ベンダーを告発（IDG Global HEADLINE）（http://www.idg.co.jp/ghl/cs/30602.html）
ワシントンの司法長官である Rob McKenna は、ニューヨークの White Plains にある Secure Computer LLC 社に対し、ユーザーに49.95ドル（約5,800円）のスパイウェア対策ソフト完全版を購入させる目的で、コンピュータが感染しているという偽の主張をそのスパイウェア対策ソフトを通じて行ったとして、告訴を提起しました
告訴状で訴えられているのは、Secure Computer 社の President である Paul Burke と、 Spyware Cleaner の宣伝販売目的の Web サイトの登録所有者である Gary Preston です。Burke と Preston は関連会社を通じて同ソフトを販売し、10万ドル（約1160万円）以上を稼いだと言われています
ニューヨークの会社、偽スパイウェア対策ソフト販売で告訴される（Sophos）
インチキスパイウェア対策ソフト（Bogus ware）の宣伝とGoogle
以下の記事の内容に、はたと目が止まった
Spyware Cleaner の外郭宣伝担当者として活動し、スパムメールや、メッセージ、Google 広告を通じて当製品を宣伝販売したとして訴えられている被告人として、Manoj Kumar、Zhijian Chen、および Seth T Traub の名前が挙げられています。
ニューヨークの会社、偽スパイウェア対策ソフト販売で告訴される（Sophos）
スパムメールによる怪しいソフトウェアの宣伝はよくあるものだし、稀にはWindowsのMessengerサービスを利用したものもあるようだが。
Googleでの広告、これはスパムメールなどによる宣伝とはある意味で次元が異なる。
記事中のGoogle広告とは訴状を読んでいないものの、Google AdWordsによるアドワーズ広告によるSponsored Linksと思われる。Spyware Warrior Rogue-Suspect Anti-Spyware Products & Web Sitesの「What's Being Advertised on Google? 」なる項目に、このSpyware Cleanerも掲載されている。
有名なスパイウェアや悪質なソフトウェアをGoogleにて検索した際に、右カラムに怪しい宣伝が複数表示されるようになったのは、ここ1-2年ほどの間の出来事だ。これらのアドワーズ広告掲載元の幾つかはセキュリティ対策ソフトの製造元であったり、リセラーなどの販売のみを目的とした業者なのだが。この中に明らかにいかがわしいソフトウェア、例えばブラウザハイジャッカーに感染した際に強制的にインストールされたとの報告があるようなものが表示されるのもよくある話だ。
一般論なのだが。大手検索ポータルやメジャーなサイト、また著名なダウンロードサイトに掲載されたソフトウェアは、一般的消費者は安易に信用してしまう傾向が高い。大手検索エンジンに広告が掲載されているならば、多くの消費者がそれを安全でまともなものと判断してしまうのではなかろうか。
「ネット上では全てを疑え」ではないのだが。何をどこまで信用したらばいいのかね。
このSpyware Cleanerにしても、セキュリティ対策ソフト紹介サイトみたいな（どこまで信用できるのか不明な）サイトにて頻繁に紹介されていた経緯はある（商業的な雰囲気のサイトだけではなく、個人が運営していると思われるサイトであってもだ）。それを眺めた消費者が、紹介されたソフトウェアを安易に信用し購入する事例も多々あるのだろう。
いずれにしても賢い消費者として振舞うには、「Googleに掲載されていから安全」などの安易な思い込みを避け、Googleが広告の契約時にその内容をろくに吟味していない事実は頭の隅に置いておくべきだろう。
またGoogleの広告はスポンサーリンクのみではなく、検索順位の操作までを含むのは、過去の事例で明らかな事実だ。
Googleはあくまでも商業的な企業活動の結果としての検索結果を表示しているのであり、そしてその内容は中立なものではない。
Googleでのアドワーズ広告よりは消えているのだが。今でも複数のサイトにてこのSpyware Cleanerは「素晴らしいソフトウェア」として推奨されている。これらは業者によるサイトなのか、個人サイトなのか判別はつかないのだが。少なくとも彼らは実際に試していない・もしくはサイト全般が元々信頼に値しないのだろう。
ちなみにGoogleを利用した宣伝では、Spywareのような単語によるアドワーズ広告のみではなく、割とメジャーなインチキソフトの名称を検索した際に表示されるものもある。
笑ってしまうのだが、これは「インチキソフトを駆除する名目のインチキソフト」なのだな。
何とかしたらばどうですかね。
関連記事
Bogus wareとRogue ware、インチキソフト
FUD-恐怖(fear)・不安(uncertainty)・疑念(doubt)-悪質なマーケティング
ランサムウェア（Ransomware）とFUD
SpyBotとSpyHunter、Googleのアドワーズ広告の悪用
WinFixer2005による脅迫は自作自演
Posted by Luca at 20:57
│
│
