2006年11月30日 - 古い定義ファイル・エンジンで、ウイルスはどれだけ検出できるのか - アンチウイルスソフト評価
ウイルス対策ソフトの性能評価と比較は、どのように行うべきなのだろうか。
日経パソコンにてアンチウイルスソフトを比較する記事を端とした話題に興味があるものの、微妙に納得がいかない。
本題に入る前にざっと、アンチウイルスソフトがウイルスを検出する3つの大別された手法を掲載する。
（この手のより詳しい話は、ウイルス対策用語集（Tef-room）あたりか、未知ウイルス検出技術に関する調査（IPA）中の調査報告書でも読んでもらいたい。）
検体次第でヒューリスティックスキャンによる検出率は変わってしまうだろう、検体が発見された時期によらず。
メーカーの人の受け売りなんですが、変なパッカーを使いヒューリスティックエンジンによりUnapckできないよう細工した検体は検出が難しく。アンチウイルスソフトによる検出は、実際に踏んで実行する際に常駐スキャン機能でやっと検出できるとか。
また「どうでもいい下らない機能」のマルウェア、例えば「悪質な詐欺ポップアップを表示するのみのアドウェア」ではどうなんだろうか。アンチウイルスソフトは文章を一々読んで判断しないから、詐欺的内容なのかもしくは単に「インストールありがとう！」なのか判別できないし、そんな新手のアドウェアをヒューリスティックスキャンで検出しろと言っても無理があるような気がする。
ちなみにワンクリウェアの場合、abcdefさんの解説によれば既存のワンクリウェアをPackしなおして頻繁に配布されているそうなんだけど、NOD32など極めて一部の製品でなければ検出してくれなくなるそうな。
ヒューリスティックスキャンの設定をデフォルトのままで試すのか、それとも最も効果的な（だがパソコンが重くなる）設定にするのかもまた、気になる点だ。
一例としてNorton AntiVirus 2006のヒューリスティックスキャン機能であるBloodHoundは、デフォルトでは「中」である。
大変気にかかるんですが、オンデマンドスキャン（手動で個別のファイル・ディレクトリを指定したスキャン）とオンアクセススキャン（あるファイルを実行した際の自動的スキャン）では、検出力が違ったりはしないんだろうか？
興味深いですね。
日経パソコン編集長の藤田憲治氏がアンチウイルスソフトの性能比較記事に関していつの時代も、真実はひとつだけ（2006年11月14日）（雑誌づくりの舞台裏）なる記事を掲載し、これに対して園田道夫氏がウイルス対策ソフトウエアの性能比較記事にもの申す！（前編）（2006年11月22日）（蔵出しセキュリティ）と反論し、盛り上がっているらしい。
話は未知のウイルス検体を入手しなければなどと、面白い方向になっているのだが。
どうも話の趣旨が掴めず、かなり長い時間じっくりと考え込んでしまったのだが。結局藤田氏が何を言いたいのかよく理解できないのだ。
藤田氏は、パターンファイルが作成されるまでの時間のみで、アンチウイルスソフトの性能を一面として比較できると考えているんだろうか。
それは違う。対応されるまでの時間もともかく、「対応されるのか否か」まで含めて考えるべきだ。
パターンマッチングによるウイルス検出においては、ウイルス定義ファイル（シグネチャファイル）リリースまでの時間は、アンチウイルスソフトウェアの性能と言うよりもむしろ、メーカー側の情報収集力や技術力に依存するのだろう。
だがあるマルウェアに対応しているのか否かについては、マイナーなものであれば事情が多少異なる。
極めて限定的な感染例（地域や感染数など）しか報告されていないようなマルウェアの場合、ユーザーよりの検体提出に依存する部分が大きい。一例として韓国のネットゲームユーザーを狙うマルウェアの検出率は、韓国に拠点がある・韓国国内で販売されているソフトウェアメーカーが一歩リードすることとなるだろう。
更には「あー、そんなマイナーなものはいいや、放置」とされてしまう場合もあるだろう、稀には。
例として適切か否かはよくわからないのだが。ほとんど日本国内のみで利用されているファイル交換ソフト経由で広まったマルウェアに対するサポートにて、日本で販売されている・日本国内で多くのユーザーを既に獲得しているメーカーのアンチウイルスソフトウェアがいち早く対応するとしたらば、当然なのではなかろうか。
「パターンファイル作成にかかる時間」を比較するならば、ある程度の数以上の感染例があるようなウイルス、例えばマスメーリングにより拡散したものならば、メーカーの内幕をあれこれと想像できる。
だけども「マイナーなマルウェアにウイルス定義ファイル（シグネチャファイル）で対応できるか否か」をソフトウェアの性能比較として持ち出すのは、個別のアンチウイルスソフトウェアが利用されている背景を考慮しなければならない。
あと、一言。
WildListにてIn The Wild（ItW：The WildList Organization Internationalがリスト化した、実際にネット上にて悪さをしているウイルス）として扱っているウイルスを検出できないのは、論外だ。
In The Wildなウイルスに対して、パターンファイルにてほとんど対応できていないようなメーカーの製品は、不良品と言い切っても過言ではない。
（違いますか？）
園田道夫氏はブログ中にて、このように記載した。「振る舞い検知」と記載されたのでビヘイビアブロッキングなのかと一瞬考えたのだが、ヒューリスティックスキャンを含めた表現なのだろう、多分。
園田氏のブログに対する藤田憲治のコメントは、以下のようなものである。
メーカーより過去の定義ファイルを個別に入手してテストすればいいだけの話のように最初は考えたものの、シグニチャが対応しているのかヒューリスティックスキャンにより検出されたのかがとっさにはわからないような気がするし、古いウイルスの変種が新たに発生したとしても過去のシグネチャで検出できる場合もあるだろう。
セキュリティホールmemoの小島氏は、このような提案をしている。これならば日経パソコンの編集部でも実行が可能ですね、記事にするまでに時間がかかりすぎるのも難儀ですが、「間違い」はそれほど無いだろう。
最近体験版のバージョンはどれだけ新しいのかとの話題に凝っており、いっそ各社の体験版ファイル・もしくは店頭で並ぶパッケージ製品をアンインストール直後でアップデートせずに比較すれば面白いだろうと考えたものの、各社それぞれで最終更新日が異なるために、フェアではないような気がする。
小島氏が掲載したような手法は、その点で公平なのだろう。
ヒューリスティックスキャンにて未知のウイルスなりマルウェアを検出できるか否かのみが、アンチウイルスソフトウェアの性能を評価する尺度となるんだろうか？
いや、違うだろう。
ヒューリスティックスキャン機能が十分で無い製品であったとしても、シグニチャベースでの対応が迅速なメーカーはどうなんだろうか。
「数ヶ月前の定義ファイル・エンジン」でのスキャン結果は、壊滅的に低くなるような予感はする。
だが実際に「正しく・常に最新の状態を保つように運用」していれば、それはそれで評価に値するべきなのではないだろうか。
古い定義ファイルでのアンチウイルスソフト性能比較について、フォーティネットジャパンの中田秋穂氏による興味深い記事がある。AV-Test.orgの元記事はどれなのかわからなかったのだが、一応紹介。
このような方法であれば、パターンマッチングとヒューリスティックスキャンそれぞれを相応に評価できるような気がするものの、得られた結果をどのように判断すべきなのかは配慮が必要だろう。
どこ宛てとは書かないが、かなり引っかかりを感じる点が一つあるのだ。
古い定義ファイル・エンジンによる検証結果は、単純に「性能比較」と表記せずに、「未知のウイルスを検出する性能の比較」と断りを入れるべきだ。さもないと消費者の誤解を招くのではなかろうか。
日経パソコンにてアンチウイルスソフトを比較する記事を端とした話題に興味があるものの、微妙に納得がいかない。
アンチウイルスソフトがウイルスを検出する手法
本題に入る前にざっと、アンチウイルスソフトがウイルスを検出する3つの大別された手法を掲載する。
- パターンマッチング
- ウイルス定義ファイル（シグネチャファイル）を元に検体を比較し、既知のウイルスを検出する
- 当然ながら、未知のウイルスには対応できない
- ウイルス定義ファイル（シグネチャファイル）を元に検体を比較し、既知のウイルスを検出する
- ビヘイビアブロッキング（Behavior Blocking）
- 既に起動中のプログラムが変な振舞い（ビヘイビア）を行ったらば検出する
- 未知のウイルスにも対応できそうなものの、某メーカーの人によれば「大した事ない」なのだそうだ。
- 既に起動中のプログラムが変な振舞い（ビヘイビア）を行ったらば検出する
- ヒューリスティックスキャン
- プログラムが起動する前の段階で、ウイルスっぽい挙動を検出して対応する。
- 未知のウイルスに対応できる機能である、とされている。
- プログラムが起動する前の段階で、ウイルスっぽい挙動を検出して対応する。
（この手のより詳しい話は、ウイルス対策用語集（Tef-room）あたりか、未知ウイルス検出技術に関する調査（IPA）中の調査報告書でも読んでもらいたい。）
ヒューリスティックスキャンと未知のウイルスの検出力
検体次第でヒューリスティックスキャンによる検出率は変わってしまうだろう、検体が発見された時期によらず。
メーカーの人の受け売りなんですが、変なパッカーを使いヒューリスティックエンジンによりUnapckできないよう細工した検体は検出が難しく。アンチウイルスソフトによる検出は、実際に踏んで実行する際に常駐スキャン機能でやっと検出できるとか。
また「どうでもいい下らない機能」のマルウェア、例えば「悪質な詐欺ポップアップを表示するのみのアドウェア」ではどうなんだろうか。アンチウイルスソフトは文章を一々読んで判断しないから、詐欺的内容なのかもしくは単に「インストールありがとう！」なのか判別できないし、そんな新手のアドウェアをヒューリスティックスキャンで検出しろと言っても無理があるような気がする。
ちなみにワンクリウェアの場合、abcdefさんの解説によれば既存のワンクリウェアをPackしなおして頻繁に配布されているそうなんだけど、NOD32など極めて一部の製品でなければ検出してくれなくなるそうな。
ヒューリスティックスキャンの設定をデフォルトのままで試すのか、それとも最も効果的な（だがパソコンが重くなる）設定にするのかもまた、気になる点だ。
一例としてNorton AntiVirus 2006のヒューリスティックスキャン機能であるBloodHoundは、デフォルトでは「中」である。
大変気にかかるんですが、オンデマンドスキャン（手動で個別のファイル・ディレクトリを指定したスキャン）とオンアクセススキャン（あるファイルを実行した際の自動的スキャン）では、検出力が違ったりはしないんだろうか？
興味深いですね。
ウイルス対策ソフト性能比較の記事
日経パソコン編集長の藤田憲治氏がアンチウイルスソフトの性能比較記事に関していつの時代も、真実はひとつだけ（2006年11月14日）（雑誌づくりの舞台裏）なる記事を掲載し、これに対して園田道夫氏がウイルス対策ソフトウエアの性能比較記事にもの申す！（前編）（2006年11月22日）（蔵出しセキュリティ）と反論し、盛り上がっているらしい。
話は未知のウイルス検体を入手しなければなどと、面白い方向になっているのだが。
パターンファイル作成にかかる時間と、パターンファイルで対応されているのか否か
お蔵入りしたテスト企画
ウイルス検出の「性能」を高い精度で測定する場合、既知のウイルスに対するテストだけでは不十分です。実際には、(1)新種のウイルスが出現してから何時間後にパターンファイルを配布できるのか、(2)未知のウイルスに対しての防御策を持っているのか、などもテストしなくてはならないでしょう。
まず、「(1)パターンファイル作成にかかる時間」についてですが、これは過去のデータから導くことができないか検討しました。
具体的には、数百種類のウイルスを選び、それらのウイルスが発見された日時と、対策ソフトメーカーがそのウイルスに対するパターンファイルの配布を開始した日時をすべて洗い出そうとしたのです。そこから、数百種類の検体に対するメーカーごとの作成時間を算出でき、対策メーカーが持つウイルス分析能力、パターンファイル作成能力を定量的に計測できるのではと考えたのです。 しかし、これは時間的な制約で断念。
別の方法として、テスト期間中に新種のウイルスが出現するのを待って、そこから「よーい！ドン」でパターンファイルが配布されるのを計測しようとも考えたのですが、この方法だと「そのウイルスに対してだけ、たまたま対応が速かった・遅れた」という結果になってしまうのでは、と危惧しました。
ご意見をいただいたので、続・ウイルス企画です（2006年11月28日）（雑誌づくりの舞台裏）
どうも話の趣旨が掴めず、かなり長い時間じっくりと考え込んでしまったのだが。結局藤田氏が何を言いたいのかよく理解できないのだ。
藤田氏は、パターンファイルが作成されるまでの時間のみで、アンチウイルスソフトの性能を一面として比較できると考えているんだろうか。
それは違う。対応されるまでの時間もともかく、「対応されるのか否か」まで含めて考えるべきだ。
パターンマッチングによるウイルス検出においては、ウイルス定義ファイル（シグネチャファイル）リリースまでの時間は、アンチウイルスソフトウェアの性能と言うよりもむしろ、メーカー側の情報収集力や技術力に依存するのだろう。
だがあるマルウェアに対応しているのか否かについては、マイナーなものであれば事情が多少異なる。
極めて限定的な感染例（地域や感染数など）しか報告されていないようなマルウェアの場合、ユーザーよりの検体提出に依存する部分が大きい。一例として韓国のネットゲームユーザーを狙うマルウェアの検出率は、韓国に拠点がある・韓国国内で販売されているソフトウェアメーカーが一歩リードすることとなるだろう。
更には「あー、そんなマイナーなものはいいや、放置」とされてしまう場合もあるだろう、稀には。
例として適切か否かはよくわからないのだが。ほとんど日本国内のみで利用されているファイル交換ソフト経由で広まったマルウェアに対するサポートにて、日本で販売されている・日本国内で多くのユーザーを既に獲得しているメーカーのアンチウイルスソフトウェアがいち早く対応するとしたらば、当然なのではなかろうか。
「パターンファイル作成にかかる時間」を比較するならば、ある程度の数以上の感染例があるようなウイルス、例えばマスメーリングにより拡散したものならば、メーカーの内幕をあれこれと想像できる。
だけども「マイナーなマルウェアにウイルス定義ファイル（シグネチャファイル）で対応できるか否か」をソフトウェアの性能比較として持ち出すのは、個別のアンチウイルスソフトウェアが利用されている背景を考慮しなければならない。
あと、一言。
WildListにてIn The Wild（ItW：The WildList Organization Internationalがリスト化した、実際にネット上にて悪さをしているウイルス）として扱っているウイルスを検出できないのは、論外だ。
In The Wildなウイルスに対して、パターンファイルにてほとんど対応できていないようなメーカーの製品は、不良品と言い切っても過言ではない。
（違いますか？）
未知ウイルスへの検出力
園田道夫氏はブログ中にて、このように記載した。「振る舞い検知」と記載されたのでビヘイビアブロッキングなのかと一瞬考えたのだが、ヒューリスティックスキャンを含めた表現なのだろう、多分。
最近、データベースだけに頼らず、そのファイルの「振る舞い」を見て判定するソフトもありますが、メーカー自身が言うほど検出精度が高くないのが現状なのではないでしょうか。藤田さん、むしろこの「振る舞い検知」の精度を含めて性能比較するとおもしろいと思うのですが、いかがですか？
ウイルス対策ソフトウエアの性能比較記事にもの申す！（前編）（2006年11月22日）（蔵出しセキュリティ）
園田氏のブログに対する藤田憲治のコメントは、以下のようなものである。
ウイルスを募集するの？
「(2)未知のウイルスに対する防御策」に対しては、そもそも効果的なテスト方法を導き出すことができませんでした。壁として立ちはだかったのは、未知のウイルスをどうやって入手するのか、という点です。「ウイルス募集！」と雑誌に掲載するわけにもいきません。
ご意見をいただいたので、続・ウイルス企画です（2006年11月28日）（雑誌づくりの舞台裏）
メーカーより過去の定義ファイルを個別に入手してテストすればいいだけの話のように最初は考えたものの、シグニチャが対応しているのかヒューリスティックスキャンにより検出されたのかがとっさにはわからないような気がするし、古いウイルスの変種が新たに発生したとしても過去のシグネチャで検出できる場合もあるだろう。
セキュリティホールmemoの小島氏は、このような提案をしている。これならば日経パソコンの編集部でも実行が可能ですね、記事にするまでに時間がかかりすぎるのも難儀ですが、「間違い」はそれほど無いだろう。
こんな方法はどうでしょう。
1.パターンファイルを最新にし、電源 OFF。ネットワークをひっこぬく。
2.半年後、その時点の wildlist ItW と独自サンプルで、パターンファイルを更新しないまま試す。
時間がネックですけど。
セキュリティホールmemo
最近体験版のバージョンはどれだけ新しいのかとの話題に凝っており、いっそ各社の体験版ファイル・もしくは店頭で並ぶパッケージ製品をアンインストール直後でアップデートせずに比較すれば面白いだろうと考えたものの、各社それぞれで最終更新日が異なるために、フェアではないような気がする。
小島氏が掲載したような手法は、その点で公平なのだろう。
パターンマッチングとヒューリスティックスキャンいずれかのみを評価し、製品の性能を比較するべきなのか？
ヒューリスティックスキャンにて未知のウイルスなりマルウェアを検出できるか否かのみが、アンチウイルスソフトウェアの性能を評価する尺度となるんだろうか？
いや、違うだろう。
ヒューリスティックスキャン機能が十分で無い製品であったとしても、シグニチャベースでの対応が迅速なメーカーはどうなんだろうか。
「数ヶ月前の定義ファイル・エンジン」でのスキャン結果は、壊滅的に低くなるような予感はする。
だが実際に「正しく・常に最新の状態を保つように運用」していれば、それはそれで評価に値するべきなのではないだろうか。
古い定義ファイルでのアンチウイルスソフト性能比較について、フォーティネットジャパンの中田秋穂氏による興味深い記事がある。AV-Test.orgの元記事はどれなのかわからなかったのだが、一応紹介。
このような方法であれば、パターンマッチングとヒューリスティックスキャンそれぞれを相応に評価できるような気がするものの、得られた結果をどのように判断すべきなのかは配慮が必要だろう。
また、古い定義ファイルで新しいウイルスに対応できるかどうかという調査もAV-Test.orgが実施している。調査は2004年5月に実施され、利用したのは2004年2月時点の定義ファイルとウイルス対策エンジンだ。73種のin the Wildなウイルスが対象で、ほとんどのベンダでは検出率0％だった。比較的多く検出したのは、NOD32が24種、Pandaが12種、McAfeeが11種であった。
意外に知らないコンピュータウイルスのミステリ（2005年1月21日）（@IT）
たとえば、最近のウイルス対策製品の多くは“未知のウイルスも検出できる機能”を売りにしている。しかしながら、AV-Comparativesが行っているプロアクティブテストの結果を見れば、その機能は必ずしも十分とは言いがたい。このテストは、3カ月前の定義ファイルを用い、現在出回っているウイルスをどのくらい検出できるかを測定するものだが、検出率は高くて30％、ほとんどの製品では数％。中にはまったく検出できない製品もあるといった結果だ。
ウイルス対策に近道なし、基本は一にも二にも「教育」（2005年1月20日）（ITmedia）
どこ宛てとは書かないが、かなり引っかかりを感じる点が一つあるのだ。
古い定義ファイル・エンジンによる検証結果は、単純に「性能比較」と表記せずに、「未知のウイルスを検出する性能の比較」と断りを入れるべきだ。さもないと消費者の誤解を招くのではなかろうか。
Posted by Luca at 22:20
│
│
2006年11月26日 - ウイルス対策ソフトメーカーは、デジタル署名・コードサイニング証明書が無いマルウェア対策ツールを配布するべきではない
アンチウイルスソフトを販売するメーカーは、製品とは別に駆除ツールなどのシンプルなプログラムを配布する。
だが多くの場合コードサイニング証明書・電子署名が無く、本当にウイルス対策ソフトメーカーによるプログラムなのか否かを判別できない。
これでは悪意がある第三者による改変検出できないし、「正規のファイルと装った罠プログラムの再配布」のリスクを回避できないだろう。
本文が多少長いので、要点は末尾のConclusionにまとめた。
コードサイニング証明書については、コードサイニング証明書辺りを読んでいただきたい。
粗く要約してしまえば、あるプログラムファイル等が"信頼できるのか"を判別するためにコードサイニング証明書の電子署名・デジタル署名をファイルにくっつけ、署名が"信頼できる団体が発行したものか否か"を証明するために認証局（CA：Certification Authority）が発行する電子証明書・デジタル証明書を利用する。
信頼できる認証局（CA：Certification Authority）が発行したものではない電子証明書や所謂オレオレ証明書の話も思い浮かぶが、本題は電子署名そのものの有無なのでスルーする。
ファイルに付けられたデジタル署名は、あるプログラムが本当に特定のメーカー・団体が作成したものか否かを確認する手段の一つだ。
君がMcAFEE社なりSymantec社よりソフトウェアの体験版をダウンロードしたらば、署名者名はMcAfee, Inc.やSymantec Corporationとなっているだろう。
デジタル署名を確認すればプログラムファイルが確かに当該企業が製造・配布したものと確認でき、更に証明書を確認し信頼できる機関が発行したものであれば間違いは無いだろう。
もしもダウンロードしたインストーラファイルにてデジタル署名が無くダブルクリック時に「発行元を確認できませんでした。このソフトウェアを実行しますか？」などと警告するダイアログが出たり、署名者名が全く無関係な企業の名称であったらば注意が必要なのだろうか。
ネット上では多くのダウンロードサイトや個人サイト更には幾つかのいかがわしいサイトにて、アンチウイルスソフトメーカーが提供しているファイルや、どこかの個人・団体が作成したセキュリティ対策ツールが再配布されている。
ダウンロード後に「ファイルの本当の出所」を判別する手段としては、コードサイニング証明書は有用だろう。
あくまでも仮定の話だが。ファーミング詐欺やhostsファイルを改変された場合は、どこかのアンチウイルスソフトメーカーのサイトに似せた罠サイトに接続されてしまうやもしれない。
コードサイニング証明書は「署名者が実在する」と証明するに過ぎない。
「Symantec社よりダウンロードしたファイルにSymantec Corporationの電子署名があり、なおかつVeriSignの証明書がついているので、確かにSymantec社が配布したファイルだろう」との判断は、間違ってはいないだろう。
しかしシマンテック社（Norton Anti-Virus等のメーカー）に類似した名称の「Synantec Corporation（mをnに入れ替えた）」によるコードサイニング証明書だったらば？
Symantecと似たようなSynatec社が配布するNorton Anti-Virusのファイルは、さすがに怪しいだろう。
（McAFEES Inc.とかSynantec Corporationのようなメーカーと類似の名称で証明書を取得し電子署名する攻撃や、信頼できる認証機関の証明書が無い電子署名を利用し騙す攻撃も有り得なくは無いような気がするが、ブログエントリのテーマは「コードサイニング証明書が無いファイルを配布するな」なので省く）
では、視点を全く切り替えた別の話を一つ。
君はある日、とあるスパイウェア対策ソフトA-Antivirusを見つけ、ダウンロードしたとする。
ファイルのコードサイニング証明書には、A社（A-Antivirus販売元）。
これは安全なのか？
A-AntivirusのインストーラファイルであるA-Antivirus.exeがA社によるものだと証明されたとして、このファイルが「本当に安全か否か」「消費者を騙す目的の詐欺的ソフトウェアか否か」をコードサイニング証明書は証明できないのだ。
「詐欺的ソフトウェア」の中には、ファイルに堂々と電子署名が付けられているものもあるだろう。
個人が配布するプログラムに電子署名を付けるべきか否かに関し、面白いブログがあったので紹介する。
だが個人レベル・どこの何ともわからない企業のコードサイニング証明書はともかく、信頼できる（と利用者が考える）企業が配布するファイルであるのか否かを判別するには、大変有用な手段であるのは間違いないだろう。
ファイルにつけられたデジタル署名は、署名された後にファイルが改変されていないか否かを判別するための指標となる。同一性を確認するための手段だ。
コードサイニング証明書があるファイルを破壊・改変すると、どうなるんだろうか？
ファイルをバイナリエディタでもメモ帳（notepad.exe）でもいいから適当なソフトで開き、どこかの1文字を削除してから上書き保存する。
改変されたファイルのプロパティでは、デジタル署名タブが消失するだろう。
一例としてMcAFEE社よりダウンロードしたデジタル署名付きファイルを実行すれば、WindowsXP SP2ではこのようなダイアログが表示される。
デジタル署名付きファイルが改変されると、実行時のダイアログにて「発行元を確認できませんでした。このソフトウェアを実行しますか？」と警告されるだろう。
（元々コードサイニング証明書が無かったプログラムファイルでも、同様の警告が表示される）
更にはファイルのプロパティより、デジタル署名タブが表示されなくなるだろう。
一例として先日McAfee Internet Security Suite体験版（McAFEE）を導入するために用いた実行形式ファイル、DMSetup.exeを例とする。
ダウンロードしたファイル上でマウスを右クリックし、プロパティ（R）を押すと、ファイルのプロパティが表示される。
デジタル署名タブを開けば、電子署名の一覧項目に、署名者名・電子メールアドレス・タイムスタンプが表示されるだろう。
詳細（D）を押せば、デジタル署名に関する詳細情報が表示される。
ファイルをダブルクリックし実行した際に、デジタル署名（コードサイニング証明書）が無かったり、デジタル署名の証明書に何か問題があれば、このような警告ダイアログが表示されるやもしれない。
多くのメーカーは、製品を購入せずとも利用できる駆除ツールを配布している。だがこれらの多くは、コードサイニング証明書が無いのだ。
誰が作ったファイルなのかわからないし、第三者による改変を受けても判別できないだろう。
セキュリティ対策を謳うならば、まず真っ先に対応すべき業種であるはずなのだが。
と言う事で、著名メーカーの体験版・総合駆除ツール・個別のマルウェア向け駆除ツールや検出ツール類を、一通りダウンロードしてコードサイニング署名の有無を確認してみよう。
販売されているソフトウェアの体験版プログラムファイルでは、コードサイニング証明書がまともな認証局が発行した電子証明書による裏づけがあるのか否かを確認した。
個別の駆除ツール類では、ファイルのプロパティよりデジタル署名タブを開き、コードサイニング証明書を利用しているか否かのみをチェックした。
ノートン インターネットセキュリティ 2007体験版（nis07100jp.exe）には、Symantec Corporationが署名者のコードサイニング証明書があった。
無償ウイルス駆除ツールリスト（Symantec）にて公開されているファイルは、どうだろうか。
リンク切れ・重複とSymantec Mobile Threats 駆除ツールとshell\open\command レジストリキーのリセットツールのUnHookExec.infを除く94ファイルをダウンロードした。
（comファイルはInternet Explorer SP2のインターネットオプションより「拡張子ではなく、内容によってファイルを開くこと」を有効にしなければダウンロードできなかった）
デジタル署名が無いのは、FunLove.4099用のFixfun.exe、W32.Kriz用の自動解凍圧縮書庫fixkriz.exeと解凍後のファイル、W95.HybrisF 駆除ツールのfixhybf.zipと解凍後のファイルの3つであった。
ウイルスバスター2007 トレンド フレックス セキュリティ体験版（vb27f1500eTE.exe）には、Trend Micro Incorporatedが発行者のコードサイニング証明書があった。
ウイルス駆除ツール（Trend Micro）では総合駆除ツールのシステムクリーナーと個別の専用ツール、そしてWinny悪用ウイルス駆除ツールが公開されている。「ELF_SADMIND.A」検索ツール（SPARC/X86両用）と「WORM_PRETTYPARK」自動駆除ツールを除く、21ファイルをダウンロードした。
システムクリーナー（auto_tsc.com）とWinny悪用ウイルス駆除ツール（Fix_VirusOnWinny.exe）、その他ダウンロードできた全てのファイルいずれもデジタル書名は無かった。
McAfee Internet Security Suite体験版をインストールする際にダウンロードするDMSetup.exeは、McAfee, Inc.が発行者のコードサイニング証明書があった。
マカフィー社の総合駆除ツールであるStingerv2.6.0（スティンガー）をAVERTウイルス駆除ツール（McAFEE）よりダウンロード。stng260.exeにはコードサイニング証明書は無かった。
ウイルス駆除ガイド（McAFEE）にてダウンロードした個別の駆除ツール、Nimda 駆除ツール（NimdaScn.zip）とSircam 駆除ツール（scrmove2.zip）は、解凍して作成されたファイルにはデジタル署名は無かった。
F-secure インターネットセキュリティ 2007 体験版（fs2007.exe）には、F-Secure Corporationが発行者のコードサイニング証明書があった。
ルートキット対策ツールとして著名なF-Secure BlackLightのblbeta.exeはデジタル署名があり、更にはサイト上にMD5とSHA-1のチェックサム（Checksums）が公開されていた。
Malware Removal Tools（F-Secure）には73種（73 Families）向けの駆除ツールが掲載されており、それぞれexeやzipその他各種バージョンがある。
reg・Jar・sis・batファイル・解説のtxtファイルを除き、28のexe・5つのcom・実行形式ファイルを圧縮した50のzipファイルのみをダウンロードした。
f-slammer.zip中のpsapi.dll、getmac11-13.zip中のGETMAC.SCR、また全てのexe・comファイルにてデジタル署名が無かった。
ダウンロード（キャノンシステムソリューション株式会社）より先日ダウンロードした、NOD32アンチウイルス V2.5 体験版 for Microsoft Windows NT/2000/XP（ndtr2kxp.exe）を検証した。
ファイルにはコードサイニング署名があり、署名者名は「CANON SYSTEM SOLUTIONS INC.」であった。
トライアル版ソフトウェア - 個人、SOHO向け製品ストア（CA）よりダウンロード。
2006年11月14日にダウンロードした、CA インターネット セキュリティ スイート 2007体験版ファイル（iss3_jp_trial.exe）のコードサイニング署名にて、署名者はInvision.com, Inc.であった。
CA（Computer Associates International, Inc. (コンピュータ・アソシエイツ・インターナショナル・インク) ）とINVISION.com, Incはそれぞれ密接な繋がりがあるようなのだが（INVISION、ネットワークサービス配信強化のためiCan SPを選択（CA）。
大多数の消費者は、Invision.com, Inc.って何だ？だろう。これではコードサイニング署名を見たエンドユーザーは、わざわざInvision.comがどのような企業なのか調べなければならないだろう。
。。。。。。何を考えているんだ？
2006年11月24日に同じファイルをダウンロードしたらば、署名者欄はCAとなっていた。
CA アンチウイルス 2007 特別優待版（av81_jp_trial.exe）、CA アンチスパイウェア 2007（aspy9_jp_trial.exe）、CA アンチスパム 2007（aspam5_jp_trial.exe）、CA パーソナル ファイアウォール 2007（pfw9_jp_trial.exe）はいずれもCAが署名者名のコードサイニング証明書があった。
CA デスクトップDNA マイグレーター 2007（DNAMigrator_r11SP1.exe）は圧縮書庫であり、解凍したらばsetup.exeを実行するように促すダイアログが出現した。
圧縮書庫のexeファイルとsetup.exeいずれにもコードサイニング証明書は無かった。
一太郎で有名なジャストシステム社は、何故かウイルス対策ソフトメーカーとして著名なカスペルスキー社より日本国内における独占販売権を取得した。
（Kaspersky Labs Japan）
ジャストシステムよりKaspersky Internet Security 6.0 試用版（kis6jpta.exe）をダウンロード。
WinSFX32M形式の自己解凍書庫ファイルには署名者がJUSTSYSTEMS CORPORATIONのデジタル署名があったものの、「このデジタル署名は有効ではありません。」と表示される。
ewido anti-spyware改めAVG Anti-SpywareをFree download（ewido）よりダウンロード。
AVG Anti-Spyware free 30-day trial versionのavgas-setup-7.5.0.50.exeには、署名者名GRISOFT LTDのコードサイニング署名があった。
kis6jpta.exeをダブルクリックすると、エラーダイアログが表示された。何か問題があるファイルをダウンロードしてしまったらしい。
なお解凍後にできたKISフォルダ中のKLMENU.EXEとAPKASP.DLLには、デジタル署名が無かった。
キングソフトは中国キングソフト（中国名：金山軟件股有限公司）の日本法人である。KINGSOFT InternetSecurity 2007は無料版（体験版）を6ヶ月間利用でき、有料版でも年間利用価格は980円と破格の金額である。
個人的にはキングソフトのサポートページ（2006年1月3日）（Semplice）以来、どうも印象が悪い。
KINGSOFT InternetSecurity 2007無料版のインストーラーファイル（kis2007.EXE）をダウンロード。
ファイルにはコードサイニング署名がなかった。
韓国のEUsoft社の製品であるバイドクターは、日本国内では ( 株 ) Sinwoo communication（SINWOO Co. Ltd.）が販売している。
バイドクターのEUsoft社と検索エンジンスパム（2006年3月2日）（Semplice）でも取り上げたが、悪質な検索エンジンスパムやブログのコメントへの宣伝、不審なスパイウェアを一緒に導入するとの報告など、あまりにも微妙な企業だ。
インストーラーファイルのvidoctorsetup.exeをダウンロード。
ファイルにはコードサイニング署名が無かった。
コードサイニング証明書はデジタル署名をファイルに付記する事により、ファイルの作成者とファイルの署名日時を証明し、ファイルが署名後に改変されていないと保証するための手段である。
アンチウイルスソフトメーカーが配布する、ソフトウェアの体験版プログラム・総合駆除ツール類・個別の駆除ツール類のデジタル署名を調べてみた。
幾つかのメーカーでは、体験版ファイルにデジタル署名が無かったり、また署名者名がどこの誰なのかわからないようなデジタル署名であった。
体験版ファイルと比較し、メーカーが提供するその他の駆除ツールではコードサイニング証明書が無い事例が多かった。
民間有志によるマルウェア対策ツールは、有名になるほど大きな運用リスクを抱える
署名ツール (SignTool.exe) でファイルにデジタル署名を
だが多くの場合コードサイニング証明書・電子署名が無く、本当にウイルス対策ソフトメーカーによるプログラムなのか否かを判別できない。
これでは悪意がある第三者による改変検出できないし、「正規のファイルと装った罠プログラムの再配布」のリスクを回避できないだろう。
本文が多少長いので、要点は末尾のConclusionにまとめた。
デジタル署名・コードサイニング証明書とは
コードサイニング証明書については、コードサイニング証明書辺りを読んでいただきたい。
粗く要約してしまえば、あるプログラムファイル等が"信頼できるのか"を判別するためにコードサイニング証明書の電子署名・デジタル署名をファイルにくっつけ、署名が"信頼できる団体が発行したものか否か"を証明するために認証局（CA：Certification Authority）が発行する電子証明書・デジタル証明書を利用する。
信頼できる認証局（CA：Certification Authority）が発行したものではない電子証明書や所謂オレオレ証明書の話も思い浮かぶが、本題は電子署名そのものの有無なのでスルーする。
ファイル作成者・署名者の証明（実在性）
ファイルに付けられたデジタル署名は、あるプログラムが本当に特定のメーカー・団体が作成したものか否かを確認する手段の一つだ。
君がMcAFEE社なりSymantec社よりソフトウェアの体験版をダウンロードしたらば、署名者名はMcAfee, Inc.やSymantec Corporationとなっているだろう。
デジタル署名を確認すればプログラムファイルが確かに当該企業が製造・配布したものと確認でき、更に証明書を確認し信頼できる機関が発行したものであれば間違いは無いだろう。
もしもダウンロードしたインストーラファイルにてデジタル署名が無くダブルクリック時に「発行元を確認できませんでした。このソフトウェアを実行しますか？」などと警告するダイアログが出たり、署名者名が全く無関係な企業の名称であったらば注意が必要なのだろうか。
ネット上では多くのダウンロードサイトや個人サイト更には幾つかのいかがわしいサイトにて、アンチウイルスソフトメーカーが提供しているファイルや、どこかの個人・団体が作成したセキュリティ対策ツールが再配布されている。
ダウンロード後に「ファイルの本当の出所」を判別する手段としては、コードサイニング証明書は有用だろう。
あくまでも仮定の話だが。ファーミング詐欺やhostsファイルを改変された場合は、どこかのアンチウイルスソフトメーカーのサイトに似せた罠サイトに接続されてしまうやもしれない。
実在性と信頼の罠
コードサイニング証明書は「署名者が実在する」と証明するに過ぎない。
「Symantec社よりダウンロードしたファイルにSymantec Corporationの電子署名があり、なおかつVeriSignの証明書がついているので、確かにSymantec社が配布したファイルだろう」との判断は、間違ってはいないだろう。
しかしシマンテック社（Norton Anti-Virus等のメーカー）に類似した名称の「Synantec Corporation（mをnに入れ替えた）」によるコードサイニング証明書だったらば？
Symantecと似たようなSynatec社が配布するNorton Anti-Virusのファイルは、さすがに怪しいだろう。
（McAFEES Inc.とかSynantec Corporationのようなメーカーと類似の名称で証明書を取得し電子署名する攻撃や、信頼できる認証機関の証明書が無い電子署名を利用し騙す攻撃も有り得なくは無いような気がするが、ブログエントリのテーマは「コードサイニング証明書が無いファイルを配布するな」なので省く）
では、視点を全く切り替えた別の話を一つ。
君はある日、とあるスパイウェア対策ソフトA-Antivirusを見つけ、ダウンロードしたとする。
ファイルのコードサイニング証明書には、A社（A-Antivirus販売元）。
これは安全なのか？
A-AntivirusのインストーラファイルであるA-Antivirus.exeがA社によるものだと証明されたとして、このファイルが「本当に安全か否か」「消費者を騙す目的の詐欺的ソフトウェアか否か」をコードサイニング証明書は証明できないのだ。
「詐欺的ソフトウェア」の中には、ファイルに堂々と電子署名が付けられているものもあるだろう。
個人が配布するプログラムに電子署名を付けるべきか否かに関し、面白いブログがあったので紹介する。
プログラムに悪意が無いことを保証するなんてムリ
技術者ならもちろん、技術者じゃない人でもわかると思うけど、作られたプログラムに悪意があるかどうかなんて、機械に判断できるワケがないでしょう。冷静に考えたらそんなこと誰だって理解できるはず。そんなどう考えても無理なことを、電子署名に期待してる人がいるというのが、私には信じられません。
個人が趣味で配布するFirefoxの拡張機能が安全であることを、電子署名が保証してくれるのか（2006年11月15日）（むぅもぉ.jp）
だが個人レベル・どこの何ともわからない企業のコードサイニング証明書はともかく、信頼できる（と利用者が考える）企業が配布するファイルであるのか否かを判別するには、大変有用な手段であるのは間違いないだろう。
ファイルの同一性を証明
ファイルにつけられたデジタル署名は、署名された後にファイルが改変されていないか否かを判別するための指標となる。同一性を確認するための手段だ。
コードサイニング証明書があるファイルを破壊・改変すると、どうなるんだろうか？
ファイルをバイナリエディタでもメモ帳（notepad.exe）でもいいから適当なソフトで開き、どこかの1文字を削除してから上書き保存する。
改変されたファイルのプロパティでは、デジタル署名タブが消失するだろう。
一例としてMcAFEE社よりダウンロードしたデジタル署名付きファイルを実行すれば、WindowsXP SP2ではこのようなダイアログが表示される。
デジタル署名付きファイルが改変されると、実行時のダイアログにて「発行元を確認できませんでした。このソフトウェアを実行しますか？」と警告されるだろう。
（元々コードサイニング証明書が無かったプログラムファイルでも、同様の警告が表示される）
更にはファイルのプロパティより、デジタル署名タブが表示されなくなるだろう。
デジタル署名（コードサイニング証明書）の表示と確認
一例として先日McAfee Internet Security Suite体験版（McAFEE）を導入するために用いた実行形式ファイル、DMSetup.exeを例とする。
ダウンロードしたファイル上でマウスを右クリックし、プロパティ（R）を押すと、ファイルのプロパティが表示される。
デジタル署名タブを開けば、電子署名の一覧項目に、署名者名・電子メールアドレス・タイムスタンプが表示されるだろう。
詳細（D）を押せば、デジタル署名に関する詳細情報が表示される。
ファイルをダブルクリックし実行した際に、デジタル署名（コードサイニング証明書）が無かったり、デジタル署名の証明書に何か問題があれば、このような警告ダイアログが表示されるやもしれない。
アンチウイルスソフトメーカーが配布する駆除ツールの不思議
多くのメーカーは、製品を購入せずとも利用できる駆除ツールを配布している。だがこれらの多くは、コードサイニング証明書が無いのだ。
誰が作ったファイルなのかわからないし、第三者による改変を受けても判別できないだろう。
セキュリティ対策を謳うならば、まず真っ先に対応すべき業種であるはずなのだが。
と言う事で、著名メーカーの体験版・総合駆除ツール・個別のマルウェア向け駆除ツールや検出ツール類を、一通りダウンロードしてコードサイニング署名の有無を確認してみよう。
販売されているソフトウェアの体験版プログラムファイルでは、コードサイニング証明書がまともな認証局が発行した電子証明書による裏づけがあるのか否かを確認した。
個別の駆除ツール類では、ファイルのプロパティよりデジタル署名タブを開き、コードサイニング証明書を利用しているか否かのみをチェックした。
シマンテック社（Symantec Corp.）
ノートン インターネットセキュリティ 2007体験版（nis07100jp.exe）には、Symantec Corporationが署名者のコードサイニング証明書があった。
無償ウイルス駆除ツールリスト（Symantec）にて公開されているファイルは、どうだろうか。
リンク切れ・重複とSymantec Mobile Threats 駆除ツールとshell\open\command レジストリキーのリセットツールのUnHookExec.infを除く94ファイルをダウンロードした。
（comファイルはInternet Explorer SP2のインターネットオプションより「拡張子ではなく、内容によってファイルを開くこと」を有効にしなければダウンロードできなかった）
デジタル署名が無いのは、FunLove.4099用のFixfun.exe、W32.Kriz用の自動解凍圧縮書庫fixkriz.exeと解凍後のファイル、W95.HybrisF 駆除ツールのfixhybf.zipと解凍後のファイルの3つであった。
トレンドマイクロ社（Trend Micro Incorporated）
ウイルスバスター2007 トレンド フレックス セキュリティ体験版（vb27f1500eTE.exe）には、Trend Micro Incorporatedが発行者のコードサイニング証明書があった。
ウイルス駆除ツール（Trend Micro）では総合駆除ツールのシステムクリーナーと個別の専用ツール、そしてWinny悪用ウイルス駆除ツールが公開されている。「ELF_SADMIND.A」検索ツール（SPARC/X86両用）と「WORM_PRETTYPARK」自動駆除ツールを除く、21ファイルをダウンロードした。
システムクリーナー（auto_tsc.com）とWinny悪用ウイルス駆除ツール（Fix_VirusOnWinny.exe）、その他ダウンロードできた全てのファイルいずれもデジタル書名は無かった。
マカフィー株式会社（McAfee Co., Ltd.）
McAfee Internet Security Suite体験版をインストールする際にダウンロードするDMSetup.exeは、McAfee, Inc.が発行者のコードサイニング証明書があった。
マカフィー社の総合駆除ツールであるStingerv2.6.0（スティンガー）をAVERTウイルス駆除ツール（McAFEE）よりダウンロード。stng260.exeにはコードサイニング証明書は無かった。
ウイルス駆除ガイド（McAFEE）にてダウンロードした個別の駆除ツール、Nimda 駆除ツール（NimdaScn.zip）とSircam 駆除ツール（scrmove2.zip）は、解凍して作成されたファイルにはデジタル署名は無かった。
エフ・セキュア（F-Secure Corporation）
F-secure インターネットセキュリティ 2007 体験版（fs2007.exe）には、F-Secure Corporationが発行者のコードサイニング証明書があった。
ルートキット対策ツールとして著名なF-Secure BlackLightのblbeta.exeはデジタル署名があり、更にはサイト上にMD5とSHA-1のチェックサム（Checksums）が公開されていた。
Malware Removal Tools（F-Secure）には73種（73 Families）向けの駆除ツールが掲載されており、それぞれexeやzipその他各種バージョンがある。
reg・Jar・sis・batファイル・解説のtxtファイルを除き、28のexe・5つのcom・実行形式ファイルを圧縮した50のzipファイルのみをダウンロードした。
f-slammer.zip中のpsapi.dll、getmac11-13.zip中のGETMAC.SCR、また全てのexe・comファイルにてデジタル署名が無かった。
キャノンシステムソリューション株式会社（Canon System Solutions Inc.）
ダウンロード（キャノンシステムソリューション株式会社）より先日ダウンロードした、NOD32アンチウイルス V2.5 体験版 for Microsoft Windows NT/2000/XP（ndtr2kxp.exe）を検証した。
ファイルにはコードサイニング署名があり、署名者名は「CANON SYSTEM SOLUTIONS INC.」であった。
コンピュータ・アソシエイツ （CA：Computer Associates International, Inc）
トライアル版ソフトウェア - 個人、SOHO向け製品ストア（CA）よりダウンロード。
2006年11月14日にダウンロードした、CA インターネット セキュリティ スイート 2007体験版ファイル（iss3_jp_trial.exe）のコードサイニング署名にて、署名者はInvision.com, Inc.であった。
CA（Computer Associates International, Inc. (コンピュータ・アソシエイツ・インターナショナル・インク) ）とINVISION.com, Incはそれぞれ密接な繋がりがあるようなのだが（INVISION、ネットワークサービス配信強化のためiCan SPを選択（CA）。
大多数の消費者は、Invision.com, Inc.って何だ？だろう。これではコードサイニング署名を見たエンドユーザーは、わざわざInvision.comがどのような企業なのか調べなければならないだろう。
。。。。。。何を考えているんだ？
2006年11月24日に同じファイルをダウンロードしたらば、署名者欄はCAとなっていた。
CA アンチウイルス 2007 特別優待版（av81_jp_trial.exe）、CA アンチスパイウェア 2007（aspy9_jp_trial.exe）、CA アンチスパム 2007（aspam5_jp_trial.exe）、CA パーソナル ファイアウォール 2007（pfw9_jp_trial.exe）はいずれもCAが署名者名のコードサイニング証明書があった。
CA デスクトップDNA マイグレーター 2007（DNAMigrator_r11SP1.exe）は圧縮書庫であり、解凍したらばsetup.exeを実行するように促すダイアログが出現した。
圧縮書庫のexeファイルとsetup.exeいずれにもコードサイニング証明書は無かった。
株式会社ジャストシステム（JustSystems Corporation）
一太郎で有名なジャストシステム社は、何故かウイルス対策ソフトメーカーとして著名なカスペルスキー社より日本国内における独占販売権を取得した。
（Kaspersky Labs Japan）
ジャストシステムよりKaspersky Internet Security 6.0 試用版（kis6jpta.exe）をダウンロード。
WinSFX32M形式の自己解凍書庫ファイルには署名者がJUSTSYSTEMS CORPORATIONのデジタル署名があったものの、「このデジタル署名は有効ではありません。」と表示される。
Grisoft
ewido anti-spyware改めAVG Anti-SpywareをFree download（ewido）よりダウンロード。
AVG Anti-Spyware free 30-day trial versionのavgas-setup-7.5.0.50.exeには、署名者名GRISOFT LTDのコードサイニング署名があった。
kis6jpta.exeをダブルクリックすると、エラーダイアログが表示された。何か問題があるファイルをダウンロードしてしまったらしい。
なお解凍後にできたKISフォルダ中のKLMENU.EXEとAPKASP.DLLには、デジタル署名が無かった。
キングソフト株式会社（Kingsoft）
キングソフトは中国キングソフト（中国名：金山軟件股有限公司）の日本法人である。KINGSOFT InternetSecurity 2007は無料版（体験版）を6ヶ月間利用でき、有料版でも年間利用価格は980円と破格の金額である。
個人的にはキングソフトのサポートページ（2006年1月3日）（Semplice）以来、どうも印象が悪い。
KINGSOFT InternetSecurity 2007無料版のインストーラーファイル（kis2007.EXE）をダウンロード。
ファイルにはコードサイニング署名がなかった。
( 株 ) Sinwoo communication（SINWOO Co. Ltd.）
韓国のEUsoft社の製品であるバイドクターは、日本国内では ( 株 ) Sinwoo communication（SINWOO Co. Ltd.）が販売している。
バイドクターのEUsoft社と検索エンジンスパム（2006年3月2日）（Semplice）でも取り上げたが、悪質な検索エンジンスパムやブログのコメントへの宣伝、不審なスパイウェアを一緒に導入するとの報告など、あまりにも微妙な企業だ。
インストーラーファイルのvidoctorsetup.exeをダウンロード。
ファイルにはコードサイニング署名が無かった。
Conclusion
コードサイニング証明書はデジタル署名をファイルに付記する事により、ファイルの作成者とファイルの署名日時を証明し、ファイルが署名後に改変されていないと保証するための手段である。
アンチウイルスソフトメーカーが配布する、ソフトウェアの体験版プログラム・総合駆除ツール類・個別の駆除ツール類のデジタル署名を調べてみた。
幾つかのメーカーでは、体験版ファイルにデジタル署名が無かったり、また署名者名がどこの誰なのかわからないようなデジタル署名であった。
体験版ファイルと比較し、メーカーが提供するその他の駆除ツールではコードサイニング証明書が無い事例が多かった。
関連記事
民間有志によるマルウェア対策ツールは、有名になるほど大きな運用リスクを抱える
署名ツール (SignTool.exe) でファイルにデジタル署名を
Posted by Luca at 20:53
│
│
2006年11月25日 - 署名ツール (SignTool.exe) でファイルにデジタル署名を
署名できるファイルの形式について（VeriSign）を眺め、電子署名がつけられないファイル形式が何なのか気になったのだ。
あちらこちらで一般的に配布されているようなファイル形式の幾つかがどうなのか、興味深い。
早速署名ツール (SignTool.exe)（Microsoft）を試してみる。
Windows® Server 2003 SP1 Platform SDK Web Install（Microsoft）よりPSDK-x86.exeをダウンロードしインストール。
Microsoft Platform SDK (3790.1830)が導入された。
Platform SDK Redistributable : CAPICOM（Microsoft）よりCC21INST.EXEをダウンロード。
ダブルクリックして解凍し、capicom.dllを得て、C:\Program Files\Microsoft Platform SDK\Binへコピー。
無料でデジタル証明書を取得するに従い、Thawte Inc.のデジタル証明書を取得。
（署名後のファイルにてデジタル署名の詳細を開けば、「証明書は要求された使用法では無効です。」と表示はされるのだが、署名できるファイル形式が知りたいだけなので構わないだろう）
エクスポートしたpxfファイルをC:\Program Files\Microsoft Platform SDK\Binへコピー。
コマンドプロンプトを起動。
cd /d C:\Program Files\Microsoft Platform SDK\Bin
「signtool.exe sign /f filename.pfx /p pfxのパスワード デジタル署名を付けるファイルのfilename」
アーカイブファイルでは、zip・lzh・tarファイルには署名できなかった。
バッチファイルのbatと、拡張子をcmdにしたファイルもまた署名できなかった（バッチファイルの拡張子はWindowsNT・2000・XPではbatとcmdいずれも利用できる）。
その他のファイルとしては、inf・sysなど。
アーカイブファイルでは、cabファイルには署名できた。またzipの圧縮書庫（exe）も署名できた。
実行形式ファイルのexe・comファイル、スクリーンセーバーのscrファイルには、デジタル署名が付けられた。
その他のファイルとしては、dllなど。
拡張子がCOMのファイルはMS-DOS時代より利用されていた実行ファイルである。
ファイルサイズの上限は64KB。
拡張子がEXEの実行形式ファイルはMS-DOS時代にもあった。ファイルサイズは64KB以上であっても大丈夫だ。
バイナリエディタで開けば、ファイルヘッダの先頭はMZより始まる。
zipの自動実行圧縮書庫ファイルなどでもEXEだったりする。
サイバークリーンセンターのボット駆除ツール（2006年12月14日）（LucaBlog）へのせがわさんのコメント 『auto_tsc.com / CCC.com とも、ファイル名は *.com ですが、中身は普通の exe です。』で、完全に見落としていた部分に気付いたんですが。
アンチウイルスソフトメーカーが配布するcomファイルは、本当はcomファイルではないのでは？単に拡張子をcomに変更しただけなのではと。
WindowsMeのC:\WINDOWS\COMMAND.COMは114 KB (117,638 バイト)であり、ファイルのヘッダ先頭部分はMZだ。
署名しようとすると「SignTool Error: This File Format cannot be Signed because it is not recognized.」と表示された。
COMMAND.EXEにリネームしてもだ。
WindowsMeのC:\WINDOWS\COMMAND\CHOICE.COMは7.35 KB (7,527 バイト)でファイルのヘッダ部にMZの文字列は無い。だが署名できないし、exeに拡張子を変更しても署名できなかった。
ブログに掲載する画像を作成するために日常的に利用しているWinShot（WoodyBells）など幾つかのソフトウェアでは、EXEファイルをバイナリエディタで開けば先頭はMZである。
EXEファイルのままでも署名できたし、COMに拡張子を変更しても署名できた。またWinShotなどはCOMに拡張子を変更しても起動し利用できたのだ。
F-Secure社・Symantec社・TrendMicro社が公開しているCOMの駆除ツールは、ファイルサイズは64KB以上のものが多く、いずれもファイルヘッダはMZからだ。
あちらこちらで一般的に配布されているようなファイル形式の幾つかがどうなのか、興味深い。
早速署名ツール (SignTool.exe)（Microsoft）を試してみる。
Windows® Server 2003 SP1 Platform SDK Web Install（Microsoft）よりPSDK-x86.exeをダウンロードしインストール。
Microsoft Platform SDK (3790.1830)が導入された。
Platform SDK Redistributable : CAPICOM（Microsoft）よりCC21INST.EXEをダウンロード。
ダブルクリックして解凍し、capicom.dllを得て、C:\Program Files\Microsoft Platform SDK\Binへコピー。
無料でデジタル証明書を取得するに従い、Thawte Inc.のデジタル証明書を取得。
（署名後のファイルにてデジタル署名の詳細を開けば、「証明書は要求された使用法では無効です。」と表示はされるのだが、署名できるファイル形式が知りたいだけなので構わないだろう）
エクスポートしたpxfファイルをC:\Program Files\Microsoft Platform SDK\Binへコピー。
コマンドプロンプトを起動。
cd /d C:\Program Files\Microsoft Platform SDK\Bin
「signtool.exe sign /f filename.pfx /p pfxのパスワード デジタル署名を付けるファイルのfilename」
署名できなかったファイル
アーカイブファイルでは、zip・lzh・tarファイルには署名できなかった。
バッチファイルのbatと、拡張子をcmdにしたファイルもまた署名できなかった（バッチファイルの拡張子はWindowsNT・2000・XPではbatとcmdいずれも利用できる）。
その他のファイルとしては、inf・sysなど。
署名できたファイル
アーカイブファイルでは、cabファイルには署名できた。またzipの圧縮書庫（exe）も署名できた。
実行形式ファイルのexe・comファイル、スクリーンセーバーのscrファイルには、デジタル署名が付けられた。
その他のファイルとしては、dllなど。
2006年12月15日追記事項
拡張子がCOMのファイルはMS-DOS時代より利用されていた実行ファイルである。
ファイルサイズの上限は64KB。
拡張子がEXEの実行形式ファイルはMS-DOS時代にもあった。ファイルサイズは64KB以上であっても大丈夫だ。
バイナリエディタで開けば、ファイルヘッダの先頭はMZより始まる。
zipの自動実行圧縮書庫ファイルなどでもEXEだったりする。
サイバークリーンセンターのボット駆除ツール（2006年12月14日）（LucaBlog）へのせがわさんのコメント 『auto_tsc.com / CCC.com とも、ファイル名は *.com ですが、中身は普通の exe です。』で、完全に見落としていた部分に気付いたんですが。
アンチウイルスソフトメーカーが配布するcomファイルは、本当はcomファイルではないのでは？単に拡張子をcomに変更しただけなのではと。
追試
WindowsMeのC:\WINDOWS\COMMAND.COMは114 KB (117,638 バイト)であり、ファイルのヘッダ先頭部分はMZだ。
署名しようとすると「SignTool Error: This File Format cannot be Signed because it is not recognized.」と表示された。
COMMAND.EXEにリネームしてもだ。
WindowsMeのC:\WINDOWS\COMMAND\CHOICE.COMは7.35 KB (7,527 バイト)でファイルのヘッダ部にMZの文字列は無い。だが署名できないし、exeに拡張子を変更しても署名できなかった。
ブログに掲載する画像を作成するために日常的に利用しているWinShot（WoodyBells）など幾つかのソフトウェアでは、EXEファイルをバイナリエディタで開けば先頭はMZである。
EXEファイルのままでも署名できたし、COMに拡張子を変更しても署名できた。またWinShotなどはCOMに拡張子を変更しても起動し利用できたのだ。
F-Secure社・Symantec社・TrendMicro社が公開しているCOMの駆除ツールは、ファイルサイズは64KB以上のものが多く、いずれもファイルヘッダはMZからだ。
Posted by Luca at 14:40
│
│
2006年11月23日 - 民間有志によるマルウェア対策ツールは、有名になるほど大きな運用リスクを抱える
以前、スパイウェア対策の質問・回答の場にてよく利用されるHijackThisは、電子証明書コードサイニング証明書が無く印象悪いと記載した。
（擬態・偽装するマルウェア - ファイル名・エントリ名とHijackThisによる修復の難（2006年5月14日））
HijackThisの動作を妨害する狙い撃ちマルウェアの報告もあったし、merijn.orgのサイトは何者かによる攻撃を何度か受けていた。スパイウェア配布者の逆恨みなのだろう。
HijackThisはあちらこちらにて再配布されている。
再配布するサイトが公開しているHijackThisの圧縮ファイル（hijackthis.zip）をダウンロード・解凍し、実行ファイル（HijackThis.exe）のファイルのプロパティを確認すれば、デジタル署名タブが無いのだな。
（VeriSignなどのコードサイニング証明書の取得は大変高価で大体年に10万円程度の経費がかかり、個人や法人格が無い団体には発行してくれないとの事情もあるのだろうけど）
攻撃者は偽の・何かを仕込んだHijackThisを配布すれば、どうなるんだろうか。
（そのような事件を自分はまだ確認できてはいないが）
多くの個人・もしくは公的ではない団体が運営するマルウェア対策サイトにて、手軽に作成できるbatファイルによるマルウェア修復ツール類が公開されているのだが、ああいうのはどうなんでしょうかね。
コードサイニング証明書を利用できなくとも、MD5などのハッシュ値をサイトに掲載すれば、改変されたファイルの流通にある程度の抑止力を得られるだろう。
例えばどこかのツール系サイト（と呼ぶんだろうか？）では、投稿されたファイルにハッシュ値が記載されている。
だが単純な話として、インストール前にハッシュ値をわざわざ確かめる初心者層のユーザーがどれだけ存在するのか疑問だし、ハッシュ値を表示するサイトが第三者による騙しサイトであったらばあまり意味は無い。
公開しないよりは良い、とは思いますが。
あと一つ、かなり気になる点がありまして。
前提条件として、個人が作成し公開した「マルウェア修復ツール」を「業者」が毎回チェックしていたとしますが。
ある日突然、マルウェア修復ツールを利用したパソコンのOSが起動しなくなるなどの問題が発生したらば、どうなるんだろうか。
対策ツールを作成したボランティアに対し、風評被害を与えられるだろう。
（一例として、特定パス・名称のファイルをいきなり削除するようなバッチファイルであったならば、悪質な業者側が「対策ツールへの過剰な対策と逆恨み目的」として、配布するマルウェアをアレコレし罠を準備するのは容易）
うまく言いづらいものがあるんですが。
「対策ツールがリリースされた後になってから悪質な業者が配布したマルウェアにより、修復作業時に問題が起きた」ならば、対策ツール配布者の責任は問えないし、（あまり良い言い方ではないが）言い訳が立つ。
とは言えども、ハッシュ値のみではなく対策ツールファイルの公開日時までを後日間違い無く検証できるようにしなければ、「対策ツールの不具合を密かに修正し公開したんだろう！」とも言われそうな気がする。
自分らが運営・所属するサイトやどこかの個人運営サイト中へのバージョンアップ報告投稿は、中立性を疑われる。コメントの日時などは後になってから変更も可能な場合があるからだ。
対策ツール配布者は各バージョン毎に変更点を掲載するのみではなく、公開日時とハッシュ値を第三者が運用する中立的な場に毎回掲載できれば、万が一のバッシング対策となるだろう。
最も安上がりで確実な方法は、ブログの体でハッシュ値と更新情報を毎回掲載し、トラックバックセンターやlivedoor Blogの共通テーマのような場へトラックバック？
（擬態・偽装するマルウェア - ファイル名・エントリ名とHijackThisによる修復の難（2006年5月14日））
HijackThisの動作を妨害する狙い撃ちマルウェアの報告もあったし、merijn.orgのサイトは何者かによる攻撃を何度か受けていた。スパイウェア配布者の逆恨みなのだろう。
HijackThisはあちらこちらにて再配布されている。
再配布するサイトが公開しているHijackThisの圧縮ファイル（hijackthis.zip）をダウンロード・解凍し、実行ファイル（HijackThis.exe）のファイルのプロパティを確認すれば、デジタル署名タブが無いのだな。
（VeriSignなどのコードサイニング証明書の取得は大変高価で大体年に10万円程度の経費がかかり、個人や法人格が無い団体には発行してくれないとの事情もあるのだろうけど）
攻撃者は偽の・何かを仕込んだHijackThisを配布すれば、どうなるんだろうか。
（そのような事件を自分はまだ確認できてはいないが）
ハッシュ値の掲載は、コードサイニング証明書の代替手段となるんだろうか？
多くの個人・もしくは公的ではない団体が運営するマルウェア対策サイトにて、手軽に作成できるbatファイルによるマルウェア修復ツール類が公開されているのだが、ああいうのはどうなんでしょうかね。
コードサイニング証明書を利用できなくとも、MD5などのハッシュ値をサイトに掲載すれば、改変されたファイルの流通にある程度の抑止力を得られるだろう。
例えばどこかのツール系サイト（と呼ぶんだろうか？）では、投稿されたファイルにハッシュ値が記載されている。
だが単純な話として、インストール前にハッシュ値をわざわざ確かめる初心者層のユーザーがどれだけ存在するのか疑問だし、ハッシュ値を表示するサイトが第三者による騙しサイトであったらばあまり意味は無い。
公開しないよりは良い、とは思いますが。
対策ツール配布者は、無罪を証明できるよう備える必要があるのでは
あと一つ、かなり気になる点がありまして。
前提条件として、個人が作成し公開した「マルウェア修復ツール」を「業者」が毎回チェックしていたとしますが。
ある日突然、マルウェア修復ツールを利用したパソコンのOSが起動しなくなるなどの問題が発生したらば、どうなるんだろうか。
対策ツールを作成したボランティアに対し、風評被害を与えられるだろう。
（一例として、特定パス・名称のファイルをいきなり削除するようなバッチファイルであったならば、悪質な業者側が「対策ツールへの過剰な対策と逆恨み目的」として、配布するマルウェアをアレコレし罠を準備するのは容易）
うまく言いづらいものがあるんですが。
「対策ツールがリリースされた後になってから悪質な業者が配布したマルウェアにより、修復作業時に問題が起きた」ならば、対策ツール配布者の責任は問えないし、（あまり良い言い方ではないが）言い訳が立つ。
とは言えども、ハッシュ値のみではなく対策ツールファイルの公開日時までを後日間違い無く検証できるようにしなければ、「対策ツールの不具合を密かに修正し公開したんだろう！」とも言われそうな気がする。
自分らが運営・所属するサイトやどこかの個人運営サイト中へのバージョンアップ報告投稿は、中立性を疑われる。コメントの日時などは後になってから変更も可能な場合があるからだ。
対策ツール配布者は各バージョン毎に変更点を掲載するのみではなく、公開日時とハッシュ値を第三者が運用する中立的な場に毎回掲載できれば、万が一のバッシング対策となるだろう。
最も安上がりで確実な方法は、ブログの体でハッシュ値と更新情報を毎回掲載し、トラックバックセンターやlivedoor Blogの共通テーマのような場へトラックバック？
Posted by Luca at 00:38
│
│
2006年11月18日 - 雑誌の付録CD/DVDに収録されている体験版のバージョンは最新なのか
マルウェア感染時にはネットワークより隔離（*1）するよう求められるものの、家庭では更新作業には難儀だ。
新規にアンチウイルスソフトを導入したとしても（*2）、エンジンやシグネチャファイル（ウイルス定義ファイル）の更新・アップデートのために、ネットワークに接続しなければならない。
またエンジン・シグネチャファイルの更新ファイルを個別にダウンロードし、対策ソフト本体のインストール後に、パソコンに手動で導入できる製品もある。だが全てのアンチウイルスソフトにてそのような更新作業を行えるのではないし、更新ファイルはソフトウェア上よりアップデートしなければ入手できない製品もあるだろう。
ウイルス対策ソフトの体験版をメーカーのページよりダウンロードしたらば、既に最新・もしくはそれに近い状態なのではと考え先日試したものの、結果は満足できる状態ではなかった。
（ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？（Semplice））
（*1：業務に必要なサーバーを安易にネットワークより隔離するのは運用によっては無理があるし、家庭に1台のみのパソコンを隔離するのもまた難儀だ）
（*2：既にアンチウイルスソフトが導入されており有効期限が切れていないならば、まずはインストール済み製品のアップデート後にスキャンするのが常道である）
書店やコンビニの店頭に並ぶ、パソコンやネットワーク関連雑誌または「お宝ゲットとか微妙な記事ばかりのもの」等では、フリーソフトウェアや有料ソフトウェア体験版を収録した光学メディアがおまけでついてくるものがある。
収録されている体験版のバージョンは、最新のものだろうか？
稀な話ではあるが、マルウェア（Malware）なりウイルスに感染した後には、アンチウイルスソフトメーカーのサイトへ接続できなくなる場合もあるだろう。
もしも雑誌の付録CDについてくる体験版が最新のものであるならば、大変有用な対処法である。
供試する環境はWindowsXP SP2。
ネットワークに接続していない状態でインストールしバージョンを確認し、その後ネットワークに接続しアップデート作業を行う。
雑誌の発行日時は雑誌本体に掲載されている日付を転載するが、発売日が別に明記されている場合はそれに従った。
インストール日時：2006年11月18日
ファイル名：fs2007.zip（更新日時：2006年10月11日）、解凍するとfs2007.exe（更新日時：2006年10月4日）一つのみ
再起動後、画面右下のタスクよりアイコンをマウスの右クリックで開き、バージョン情報を開く。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認。
[FSAV_Database_Version]
Version=2006-05-25_01
自動更新より詳細画面を開き、自動更新を開く。
パターンファイル： 2006-05-25_01
スパイウェアの定義： 2005-06-01_01
詳細画面の自動更新よりダウンロードを開くと、これのみであった。
Software Package 7.00-362
ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？（2006年11月15日）（Semplice）にF-Secureのサイトよりダウンロードした体験版と同じですね。
更新前のパターンファイル等は半年前のものであった。
インストール日時：2006年11月18日
ファイル名：VirusBlock2007.zip（更新日時：2006年10月24日）、解凍するとSetup.exe（更新日時：2006年9月26日）他幾つかのファイル・フォルダができる。
更新前のエンジン（マルウェアのシグネチャを含む）は先々月のものであった。
更新前のエンジンバージョン：2006.09.26.00
アップデート後のエンジンバージョン：2006.11.18.00
書店に行ったもののWindows VISTA特集ばかりで、体験版が収録されている新しい雑誌がこれしかなかったのだ。
あまりにも中途半端な形となり、どうも満足が行かない。
後日新たに購入し追記します。
ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版
感染後にアンチウイルスソフトをダウンロード販売で購入してはならない - マルウェア対策の極論
新規にアンチウイルスソフトを導入したとしても（*2）、エンジンやシグネチャファイル（ウイルス定義ファイル）の更新・アップデートのために、ネットワークに接続しなければならない。
またエンジン・シグネチャファイルの更新ファイルを個別にダウンロードし、対策ソフト本体のインストール後に、パソコンに手動で導入できる製品もある。だが全てのアンチウイルスソフトにてそのような更新作業を行えるのではないし、更新ファイルはソフトウェア上よりアップデートしなければ入手できない製品もあるだろう。
ウイルス対策ソフトの体験版をメーカーのページよりダウンロードしたらば、既に最新・もしくはそれに近い状態なのではと考え先日試したものの、結果は満足できる状態ではなかった。
（ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？（Semplice））
（*1：業務に必要なサーバーを安易にネットワークより隔離するのは運用によっては無理があるし、家庭に1台のみのパソコンを隔離するのもまた難儀だ）
（*2：既にアンチウイルスソフトが導入されており有効期限が切れていないならば、まずはインストール済み製品のアップデート後にスキャンするのが常道である）
雑誌のおまけとして配布されている体験版
書店やコンビニの店頭に並ぶ、パソコンやネットワーク関連雑誌または「お宝ゲットとか微妙な記事ばかりのもの」等では、フリーソフトウェアや有料ソフトウェア体験版を収録した光学メディアがおまけでついてくるものがある。
収録されている体験版のバージョンは、最新のものだろうか？
稀な話ではあるが、マルウェア（Malware）なりウイルスに感染した後には、アンチウイルスソフトメーカーのサイトへ接続できなくなる場合もあるだろう。
もしも雑誌の付録CDについてくる体験版が最新のものであるならば、大変有用な対処法である。
供試する環境はWindowsXP SP2。
ネットワークに接続していない状態でインストールしバージョンを確認し、その後ネットワークに接続しアップデート作業を行う。
雑誌の発行日時は雑誌本体に掲載されている日付を転載するが、発売日が別に明記されている場合はそれに従った。
F-secure インターネットセキュリティ（F-Secure Internet Security） 2007 体験版（F-Secure社）
PC Japan 12月号（2006年11月13日発売）
インストール日時：2006年11月18日
ファイル名：fs2007.zip（更新日時：2006年10月11日）、解凍するとfs2007.exe（更新日時：2006年10月4日）一つのみ
再起動後、画面右下のタスクよりアイコンをマウスの右クリックで開き、バージョン情報を開く。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認。
[FSAV_Database_Version]
Version=2006-05-25_01
自動更新より詳細画面を開き、自動更新を開く。
パターンファイル： 2006-05-25_01
スパイウェアの定義： 2005-06-01_01
詳細画面の自動更新よりダウンロードを開くと、これのみであった。
Software Package 7.00-362
ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？（2006年11月15日）（Semplice）にF-Secureのサイトよりダウンロードした体験版と同じですね。
更新前のパターンファイル等は半年前のものであった。
V3 ウイルスブロック インターネットセキュリティ 2007 体験版（AhnLab V3 VirusBlock Internet Security 2007）（インターチャネル ホロン）
PC Japan 12月号（2006年11月13日発売）
インストール日時：2006年11月18日
ファイル名：VirusBlock2007.zip（更新日時：2006年10月24日）、解凍するとSetup.exe（更新日時：2006年9月26日）他幾つかのファイル・フォルダができる。
更新前のエンジン（マルウェアのシグネチャを含む）は先々月のものであった。
更新前のエンジンバージョン：2006.09.26.00
アップデート後のエンジンバージョン：2006.11.18.00
大変困りました。
書店に行ったもののWindows VISTA特集ばかりで、体験版が収録されている新しい雑誌がこれしかなかったのだ。
あまりにも中途半端な形となり、どうも満足が行かない。
後日新たに購入し追記します。
関連記事
ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版
感染後にアンチウイルスソフトをダウンロード販売で購入してはならない - マルウェア対策の極論
Posted by Luca at 22:57
│
│
2006年11月17日 - livedoor Blogで禁止ワードを設定し、簡単に多くのコメントスパムを排除する方法
ブログを運営していると多くのスパム・宣伝目的の怪しいコメントが投稿され、誰もが驚くだろう。
スパム・宣伝行為を簡単に・手軽に排除・防止できたならば、望ましい事この上ない。
スパムコメントは手動で書き込まれる場合もあるし、ブログの投稿フォームに定型文を片っ端から自動的に投稿する場合もあるらしい。
業者さんの都合とか事情はよくわからない（以前取材した方と連絡が取れなくなってしまったので、情報源が無いのです）。
業者さんの目的は、相手のブログより直接集客するのみに留まらず、多くのサイトよりリンクされている（被リンク数が多い）サイト・Webページを仕立て上げ、検索エンジンの結果表示にて上位を目指す目的もあるらしい。
（米Google、リンク属性を利用したコメントスパム対策機能（INTERNET Watch））
（Googleの検索結果はPR値のみに依るものではないのだが）
ブログに限らず多くのBBSなりフォーラムにて、コメントスパムで宣伝されるサイトの多くは、所謂成人向けコンテンツを含むアダルトサイトだ。
最近はいかがわしい製品を購入させる目的のサイトなども増えてきたようだ。
livedoor Blogではコメント投稿後の処置として、「カスタマイズ/管理」 → 「ブログの設定欄」中の「ブログの基本設定」項目より「コメント/トラックバックの設定」を開き、「コメント受信時の状態」にて「すぐに表示する」と「下書きにしておく」の2つを選択できるようになっている。
だが毎日10数件から数十件のスパムコメントを受信するブログ運営者にとって、全てのコメントを毎回毎回チェックしてから表示するのは大変な話だし、運営上支障をきたす。
2006年にlivedoor Blog側が行った対策の後でも、コメントスパムはそれほど減っていないようだ。
livedoor IDコメント認証（livedoor IDを持つユーザー、もしくは許諾を得たユーザー）のみが投稿可能とする対策も、どれだけ効果的なものやら。
スパム情報（livedoor Blog 運営ウィキ）では、あまり有用な情報も無い。
そこでivedoor Blogの禁止ワード設定を活用する。
コメント/トラックバックの禁止ワードを設定する（livedoor ヘルプ）
多くのコメントスパムにては、コメント本文にリンクを張ったURL、つまりアンカータグ（Aタグ）を含む形のURLが投稿されるだろう。
（コメント内リンクと呼ばれるらしいのだが、正式な名称は何なんだろうか？）
禁止ワードに設定するのは、たったこれだけだ。
↓ ↓ ↓
</a>
[/url]
思わず拍子抜けしてしまうだろうけど、まずはお試しあれ。
たったこれだけの作業で、いかがわしいスパムを完全にとは言わないものの、大多数を排除できるのだ。
なおコメント投稿時にURL欄にアダルトサイトのURL（URI）を入力する手口は、コメント投稿フォームよりURL入力欄を取り除いてしまえば、スパムの被害を最小限に食い止められるような気がする（コメント投稿フォームのURL入力欄は不要なのではなかろうか（Semplice））。
何故にコメントスパムの多くは、コメント内リンクを利用したがるんだろうか？
コメント投稿フォームのURL入力欄は不要なのではなかろうか
LivedoorBlogとトラックバックスパム
スパム・宣伝行為を簡単に・手軽に排除・防止できたならば、望ましい事この上ない。
悪質な業者・広告代理店による宣伝投稿とコメントスパム
スパムコメントは手動で書き込まれる場合もあるし、ブログの投稿フォームに定型文を片っ端から自動的に投稿する場合もあるらしい。
業者さんの都合とか事情はよくわからない（以前取材した方と連絡が取れなくなってしまったので、情報源が無いのです）。
業者さんの目的は、相手のブログより直接集客するのみに留まらず、多くのサイトよりリンクされている（被リンク数が多い）サイト・Webページを仕立て上げ、検索エンジンの結果表示にて上位を目指す目的もあるらしい。
（米Google、リンク属性を利用したコメントスパム対策機能（INTERNET Watch））
（Googleの検索結果はPR値のみに依るものではないのだが）
ブログに限らず多くのBBSなりフォーラムにて、コメントスパムで宣伝されるサイトの多くは、所謂成人向けコンテンツを含むアダルトサイトだ。
最近はいかがわしい製品を購入させる目的のサイトなども増えてきたようだ。
禁止ワードによるコメントスパムの予防法
livedoor Blogではコメント投稿後の処置として、「カスタマイズ/管理」 → 「ブログの設定欄」中の「ブログの基本設定」項目より「コメント/トラックバックの設定」を開き、「コメント受信時の状態」にて「すぐに表示する」と「下書きにしておく」の2つを選択できるようになっている。
だが毎日10数件から数十件のスパムコメントを受信するブログ運営者にとって、全てのコメントを毎回毎回チェックしてから表示するのは大変な話だし、運営上支障をきたす。
2006年にlivedoor Blog側が行った対策の後でも、コメントスパムはそれほど減っていないようだ。
１）半角英数字のみのコメント/トラックバックの拒否設定
＊注意：ブログ作成時の設定はONになります。
２）サービス全体で、禁止URLを含むコメント/トラックバックの禁止運用
スパムコメント/トラックバック防止機能・運用につきまして2（2006年5月2日）（livedoor Blog 開発日誌）
・同一IPアドレスから10秒以内に連続して書き込みがあった場合
・同一IPアドレスから10分以内に10件以上投稿された場合
に以降の投稿を受け付けない仕組みを実装しました。
スパムコメント防止機能追加につきまして（2006年5月17日）（livedoor Blog 開発日誌）
livedoor IDコメント認証（livedoor IDを持つユーザー、もしくは許諾を得たユーザー）のみが投稿可能とする対策も、どれだけ効果的なものやら。
スパム情報（livedoor Blog 運営ウィキ）では、あまり有用な情報も無い。
・ワンクリック詐欺のサイト
・ブログに偽装したアダルトサイト
・大規模なトラックバックスパムを行っているサイト
などの条件に当てはまるサイトをlivedoor Blogのサービス全体での停止の対象としています。
スパム情報（livedoor Blog 運営ウィキ）
そこでivedoor Blogの禁止ワード設定を活用する。
コメント/トラックバックの禁止ワードを設定する（livedoor ヘルプ）
多くのコメントスパムにては、コメント本文にリンクを張ったURL、つまりアンカータグ（Aタグ）を含む形のURLが投稿されるだろう。
（コメント内リンクと呼ばれるらしいのだが、正式な名称は何なんだろうか？）
禁止ワードに設定するのは、たったこれだけだ。
↓ ↓ ↓
</a>
[/url]
思わず拍子抜けしてしまうだろうけど、まずはお試しあれ。
たったこれだけの作業で、いかがわしいスパムを完全にとは言わないものの、大多数を排除できるのだ。
なおコメント投稿時にURL欄にアダルトサイトのURL（URI）を入力する手口は、コメント投稿フォームよりURL入力欄を取り除いてしまえば、スパムの被害を最小限に食い止められるような気がする（コメント投稿フォームのURL入力欄は不要なのではなかろうか（Semplice））。
疑問が一つ残るのだが
何故にコメントスパムの多くは、コメント内リンクを利用したがるんだろうか？
関連記事
コメント投稿フォームのURL入力欄は不要なのではなかろうか
LivedoorBlogとトラックバックスパム
Posted by Luca at 22:21
│
│
2006年11月16日 - コメント投稿フォームのURL入力欄は不要なのではなかろうか
先日指摘され、やっと気付いたんですが。
過去の古いコメントのうち幾つかは不審な怪しいサイトへ、投稿者名の項目よりリンクが張られているではないですか。
検索するとどうやら、コメントスパムのようだ。
全く気付きませんでした。
投稿された文章は、普通のあいさつ文か何かのようなものでしたから。
以下の部分を削除した。
だが下手にいじったらば、設定を間違ったようだ。メールアドレスのみを入力した投稿であってもリンクされない状態となった。
コメントのリンク表示を、メールとURLの両方が出るように変えてみました。（My love letters (livedoor Blog life)）を参考に、以下のようにした。
これでやっと、表示されたコメントにてはメールアドレスのみがリンクされるようになった。
（入力したURLのサイトとメールアドレスにより、投稿者の身元のようなものを明らかにする意味もあるのではと考えたものの、どうも考えすぎのようだ）
URL欄にアダルトサイトなどを入力したコメントにより怪しいサイトを宣伝された事例を、あちらこちら多くのブログで見かける今日この頃。
自動・手動いずれで投稿されたのかはわからないが、どうにかならないものでしょうか。
また投稿者が入力したURLがブログであったとしても、コメントやトラックバックができないものであったならば、また微妙。
これでは「連絡先伝達機能」効果は、あまり無いのではないだろうか。
多くの場合は連絡先伝達機能としてのURLをリンク先で果たしているだろう。
だが一部では、「投稿者の連絡先が記載されているページのURL」もしくは「トップページよりすぐに連絡先が見つかるサイトのURL」を登録するか、もしくはコメントが投稿可能なブログであることなどの要素を満たしておらず。結果として「連絡先伝達機能」としてのURL入力は、事実上さほど意味を成していない。
宣伝目的コメント投稿直後には「まともなサイト」であるように見えても、いずれ日数を経た後になってから、不審な危険サイトへリダイレクトされるようなドアページと変更されてしまったらばお手上げだ。
スパムメール送信先メールアドレスを収集するためのBotが巡回し、送信先アドレスとして登録する可能性は否定できないものの、他の閲覧者やブログ運営者が抱えるリスクは格段に減る。
メールアドレスへはリンクをさせずプレーンなテキストとして表示させるとか、登録されたメールアドレスの末尾に「ab12c」など適当な文字列を付記するとか、そんなアイディアも思いついたのだが。
とりあえず当面の間は様子見します。
過去の古いコメントのうち幾つかは不審な怪しいサイトへ、投稿者名の項目よりリンクが張られているではないですか。
検索するとどうやら、コメントスパムのようだ。
全く気付きませんでした。
投稿された文章は、普通のあいさつ文か何かのようなものでしたから。
livedoor Blogの設定を変更
個別記事中の、コメント投稿フォームのURL欄を削除
livedoor Blogの管理ページより、「カスタマイズ/管理」を開き、「デザインの設定」 - 「カスタマイズ」より「個別記事ページ」を開く。以下の部分を削除した。
個別記事中のコメント表示を変更
livedoor Blogは何故か、URLとメールアドレスそれぞれを入力しコメントを投稿したとしても、URLのみが表示される投稿者名よりリンクされるのだ。だが下手にいじったらば、設定を間違ったようだ。メールアドレスのみを入力した投稿であってもリンクされない状態となった。
コメントのリンク表示を、メールとURLの両方が出るように変えてみました。（My love letters (livedoor Blog life)）を参考に、以下のようにした。
これでやっと、表示されたコメントにてはメールアドレスのみがリンクされるようになった。
コメント欄のURLとメールアドレスは、何のために必要なのだろうか
コメント投稿時に入力するURL（URI）とメールアドレスは、コメント投稿者が自身への連絡先とするために入力するのだろう（連絡先伝達機能？）。（入力したURLのサイトとメールアドレスにより、投稿者の身元のようなものを明らかにする意味もあるのではと考えたものの、どうも考えすぎのようだ）
URL欄にアダルトサイトなどを入力したコメントにより怪しいサイトを宣伝された事例を、あちらこちら多くのブログで見かける今日この頃。
自動・手動いずれで投稿されたのかはわからないが、どうにかならないものでしょうか。
連絡先伝達機能としてのURL欄
連絡先として投稿者はURLを入力したとする。辿って閲覧者の（ものと考えられる）サイトを訪問し幾つかの記事を眺め、連絡先なり投稿フォームを探しても見つからないのもよくある話だ。また投稿者が入力したURLがブログであったとしても、コメントやトラックバックができないものであったならば、また微妙。
これでは「連絡先伝達機能」効果は、あまり無いのではないだろうか。
多くの場合は連絡先伝達機能としてのURLをリンク先で果たしているだろう。
だが一部では、「投稿者の連絡先が記載されているページのURL」もしくは「トップページよりすぐに連絡先が見つかるサイトのURL」を登録するか、もしくはコメントが投稿可能なブログであることなどの要素を満たしておらず。結果として「連絡先伝達機能」としてのURL入力は、事実上さほど意味を成していない。
入力されたURLのサイトを安全か否かと検証するのは、無理がある
現実の問題として、ブログ管理者が投稿者により入力されたURLを毎回チェックし安全なものであるか否かを確認するのは、時間・労力を尽くしたとしても十分には行えないような気がする。宣伝目的コメント投稿直後には「まともなサイト」であるように見えても、いずれ日数を経た後になってから、不審な危険サイトへリダイレクトされるようなドアページと変更されてしまったらばお手上げだ。
メールアドレス欄は、どうなんだろうか？
連絡先伝達機能としてのメールアドレス入力は、目的を果たすためには最も適切であり、間違いは無いだろう。スパムメール送信先メールアドレスを収集するためのBotが巡回し、送信先アドレスとして登録する可能性は否定できないものの、他の閲覧者やブログ運営者が抱えるリスクは格段に減る。
メールアドレスへはリンクをさせずプレーンなテキストとして表示させるとか、登録されたメールアドレスの末尾に「ab12c」など適当な文字列を付記するとか、そんなアイディアも思いついたのだが。
とりあえず当面の間は様子見します。
Posted by Luca at 22:55
│
│
2006年11月15日 - ウイルス対策ソフト体験版を、定義ファイル・エンジンのバージョン更新をせず利用できるのか？
ダウンロードできる体験版は最新のバージョンなのだろうか？
ウイルス定義ファイルやエンジンが極めて古いバージョンであるならば、バージョンアップをしなければ消費者は適切な評価を行えないし、ウイルスやスパイウェアの検出も期待通りには行えない可能性がある。
（インストール時に既にウイルス等に感染していないかスキャンする製品もあるが、あまりにも古いウイルス定義ファイル（シグネチャファイル）ならば意味が無い）
アンチウイルスソフトメーカーが無料・無償で利用できる体験版（トライアル版）のバージョンは、更新無くしてどこまで運用できるものなんだろうか？
企業側としてはPR目的で、気に入ったらば購入してくださいなとの目的なのだろう。
一部企業の体験版では、製品上のGUIに「代金を支払い有料版とするためのボタン」などがあるものだ。
アンチウイルスソフト体験版は、30日などの使用期限を定められるだけではなく、場合によっては機能面での制限を受けるものも存在した。
昔のメモがどこかへ行ってしまったのでどの製品がどのような状況だったのか、とっさには思い出せないのだが。一部の製品ではウイルス・マルウェアの検出はできてもそれだけとか、感染ファイルを削除できても修復はできないとか、アップデートできないなどの制限が加えられていた。
（駆除：厳密にはウイルスは既存のファイルへ上書き・追記するプログラムを指す。ウイルスによる感染ファイルを元に戻す作業を「修復・駆除」と呼称する。）
（削除：現在では多くのマルウェアは単体のファイルで導入され活動するため「ウイルス」ではない。本体のファイルをそのまま削除するようアドバイスされる事例が多い。この作業を「（ファイルの）削除」と呼称する。もちろん「既存ファイルにウイルスが感染したもの」を削除するものまた、「削除」である。）
少なくとも4年ほど前までの段階で、日本国内のネット上で最も広く利用された体験版は、トレンドマイクロ社のウイルスバスターとANTIDOTEであったような記憶がある。
（M社製品は当時評判がやや悪く、S社製品は微妙に検出力が悪かった。）
当時の質問掲示板では、マルウェアに感染したとの相談に対しての「アンチウイルスソフトを購入しろ！」との回答は、それほど多くはなかったし、体験版の利用とトレンドマイクロ社のオンラインスキャンとの併用を促す回答が多かった。
何故かって？かつては「ネットワークに接続しているだけで感染・または加害者となるネットワークワーム」は、多くのホームユーザーにとっては深刻な脅威ではなかったのだ。現在のように「ネットにルーターのNATを介さず接続すると、数分で何かに感染する」とか「BOTや（極めて狭義の）スパイウェアによる脅威」は、それほどの問題ではなかったのだ。
（2001年のCodeRedは多くのホームユーザーがWindows2000を導入していなかったため、言い回しは悪いが対岸の火事と感じる層も多かった）
（マスメーリング経由で感染するウイルスは多くの被害者を生んだものの、いずれも容易に解決できるものばかりであった）
以前はパソコンを一度購入してしまったらばメンテナンスなり保守なり管理のために、新たな製品を金銭を支払い導入するなんておかしいのではとの見解もかなり多かった。端的に書くと、アンチウイルスソフトウェアをわざわざ有償で導入するには否定的なユーザーの比率は極めて高かったのだ。
そのような時代に、体験版は多くのエンドユーザーにとって福音となったのだ。。。。「感染したかな？」と思ったらば体験版をダウンロードしてスキャン、使用期限が切れたらアンインストール、と（例が悪くてすいませんね）。
やがてアンチウイルスソフトウェアの導入は「ネットに接続するユーザーの義務である」論も沸いた。
メーカーが体験版を公開し、ウイルスやマルウェア対策の啓蒙活動の一環としなかったらば、アンチウイルスソフトウェアの導入は現在ほど常識化されていなかったのではないだろうか。
体験版は潜在的顧客の掘り起こしのための宣伝に留まらず、啓蒙活動にも多大な役割を果たしたのではなかろうか。
質問掲示板などの場にて、ウイルスやスパイウェアに感染したとの相談をよく目にする。
回答としては「何かのアンチウイルスソフトをまず購入しアップデートしてくれ」が第一なのだが、ある日ふと考えた。
平時ならばゆっくりと余裕を持って製品を選べる消費者も、危急の場では緊急性が求められ、製品の十分な評価を事前に行うゆとりは無いだろう。
その場を体験版などで何とかヤリクリし、その後にゆっくりと自分に最も合った製品を選ぶだけの余裕が得られれば、アンチウイルスソフトウェアのそれぞれの特性なりを鑑みた上で最も適切な製品を選べるのではないだろうか。
余計な出費を抑えたいとの意見もよくわかる。
問題を解決するにしても、金銭的コストは抑えたいものだ。
これらをうまく解決する方策として、アンチウイルスソフトメーカーが提供する体験場なりトライアル版を利用し、マルウェア感染を解決できるならば、望ましいことこの上ない。
。。。。。とは言えども。体験版を導入するには相応の問題が伴うのだ。
「何かのマルウェア」に感染した場合、ネットワークより速やかに隔離し処理するように推奨される。
ネットワークワームに感染した場合には加害者とならないようにするために、またマスメーリングにて拡散するウイルスなどはメールを第三者に意図せず送らないように、との背景だ。
ネットワークに接続するのは極力避けたいし、できる限り最新のバージョンを初めから入手したいものだ。
体験版インストール直後と、更新後の検索エンジン・定義ファイル（シグネチャファイル）のバージョンを比較し、配布されている体験版に含有されるバージョンの古さをチェックし、体験版を導入後に更新せずに活用し得るものなのか否かが大変気になる。
更には、登録作業が更新に必要な体験版を配布するメーカーもあるが、どのような実態なのかが気になる。
体験版は更新せずともウイルスを検出できるのだろうか？
アンチウイルスソフトウェアの挙動をチェックするためによく利用されるeicar（The Anti-Virus or Anti-Malware test file）よりeicor.comをダウンロードしてスキャンし、正常にスキャンが行われ検出されるのか、eicar.comを手動スキャンし試す。
忘れがちだが、最も重要な点を一つ。
感染中のマシンでは多くの情報、例えばフォームに入力した氏名やメールアドレスの保護は十分には行えないだろう。
画面をキャプチャされいずこかへ送信されたらば、どうなんだろうか？
感染したと気付いたらば、個人情報の取り扱いには細心の注意を払う必要がある。
感染中のパソコンより氏名やメールアドレスを入力するのは極力避けたいものだ。
だから、体験版の利用や更新に個人情報の入力が求められるような製品は、感染中のパソコンにて修復作業に用いるには難がある。
ウイルス定義ファイルやエンジンを手動でダウンロードし導入するならば、多少事情は異なるだろう。
だが今回のテーマは「質問掲示板にて質問者へ返信すべき回答やアドバイスのために、判断基準を探る目的」であるため、割愛させていただく。
ウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版（TrendMicro）をダウンロード。
ActiveXコントロールによる「かんたん！インストール」ではなく、完全パックプログラム（自己解凍式 (81.6MB)）をダウンロード。体験版ダウンロードの際には個人情報の入力は求められなかった。
ファイル名はvb27f1500eTE.exeであった。
ネットワークの接続を遮断しインストールを開始。
「インストール前のチェック」にてウイルススキャン。「検索するのは、インストールに関連する一部のファイルのみです。」なのだそうだ。
ウイルスバスター 2007 Trend Flex Securityを起動しバージョンを確認。
プログラムバージョン：15.00.1329
検索エンジンのバージョン：8.31.1002
パターンファイル番号：3.681.50
eicar.comをマウス右クリックし、ウイルス検索の実行。eicar.comはEicar_test_fileとして検出された。
ネットワークに接続し、アップデート開始。15,782KBものアプデータをダウンロードした。
「ウイルスバスター2007を無料*で30日間お試しいただけます」なるオンラインユーザ登録表示が出たものの、無視してもアップデートは成功した。
OS再起動後にヘルプとサポートよりバージョン情報を確認。やや古いバージョンよりアップデートしたようだ。
プログラムバージョン：15.00.1329
検索エンジンのバージョン：8.32.1003
パターンファイル番号：3.919.50
パターンファイル情報（TrendMicro）によれば、パターンファイル番号3.681.xxは2006年8月23日リリースで3ヶ月前のものであった。
検索エンジンのバージョンはサポート - 検索エンジン リリースノート（TrendMicro）にて確認したらば、いずれも製品上で表示された8.32.xxxxではなく8.320.xxxxなのだな。
VSAPI 8.310のリリース日は2006年8月24日、VSAPI 8.320のリリース日は2006年9月21日であった。
よくわからないな。
インストーラーを入手してしまえば利用・更新のために個人情報などを入力する機会は無いために、既に感染中のマシンで体験版にて何とかするとのテーマにては、かなり有望やもしれない。
McAfee Internet Security Suiteの30日間お試し版をホーム ユーザ向け McAfee - パソコン用コンピュータ ウイルス ソフトウェアおよびインターネット セキュリティ（McAFEE）よりダウンロード。
「アカウントを作成」なる画面より、氏名・Emailアドレス・パスワードの入力を求められた。氏名とEmailアドレスはアクタリスク（*）ではない。
2006年11月13日登録操作。
アカウントのアクティブ化処理のため、送信されたメール中に記載されたURLを開く。
McAfee Download Manager（577KB・591,400バイト）なるプログラムの導入を要求されたので、ダウンロード。どうやら体験版本体を直接ダウンロードできるのではないようだ。
これでは体験版は最新なのか否かを判別できないではないか。。。。。。。。
ネットワークに接続した状態で、DMSetup.exeをダブルクリックして実行。
Eメールアドレスとパスワードの入力を求められたので、入力。Eメールアドレスはアクタリスク（*）ではなくそのまま表示された。
McAfee Internet Security Suiteをダウンロード。
「コンピュータのウイルスをスキャンしています。」と表示され、いきなりスキャンが開始される。
インストール終了後に更新作業を行ったらば、「更新はありません」と表示された。
本来の目的、つまり体験場本体となるプログラムをダウンロードしてバージョンを確認するとの検証作業は行えなかった。
メールアドレスを入力しパスワードを入手しなければ、インストールもできなかった（yahoo!などのフリーメールアカウントでも利用できるため、感染マシン以外の場で登録はできるだろう）。
直接体験版のインストーラーのファイルを入手できず、DMSetup.exe（ダウンロードマネージャか？）経由でインストールしなければならない点は、引っかかりを感じた。
「体験版のみで何とかするぞ！プロジェクト」には多くの課題を残した。
体験版ダウンロード（シマンテックストア ）より体験版をダウンロードしようとしたのだが、メールアドレスの入力を求められたので入力。
「ダウンロードを実行」のボタンを押してもダウンロードが始まらないので、ボタン上でマウスを右クリックし、「対象をファイルに保存」としてexeファイルを入手した。
だが16.0KB/Secは幾らなんでも遅すぎるのではないだろうか。
体験版の利用期限が15日間なのは、他メーカーと比較してやや短いようだ。
インストーラーのファイルnis07100jp.exeをダブルクリックし、「インストール前のスキャン」開始。
OS再起動。
Norton Protection Centerを開く。
Norton Protection Centerタブにはバージョンについての情報は掲載されていない。
Norton Internet Securityタブでは、「Norton Internet Securityの設定が完了していません。」と表示が出るのみ。サポートより「更新サービスとアカウントの情報」→「Norton Ineternet Securityのバージョン情報」を開く。バージョン：10.0.0.86であった。
「設定を完了するには[続行]をクリックします。と表示されているので、続行をクリックするも、「Symantecがすでに起動中です。お待ちください。」とのダイアログが出る。
eicar.com上でマウスを右クリックし「Norton Internet Securityでスキャン（A）」を選択するも、またしても「Symantecがすでに起動中です。お待ちください。」との意味が無いダイアログが出るだけだ。
ネットワークに接続し、LiveUpdateを実行。だが何もダウンロードする気配が無いし固まったので、OSを再起動した。
再度LiveUpdateを行ったが、途中で固まってしまった。
どうも今回試した体験版を利用するには、問題があるようだ。
日を置いて改めて試す予定。
NOD32アンチウイルス V2.5 体験版プログラム for Microsoft Windows NT/2000/XPをキヤノンシステムソリューションズ：NOD32 アンチウイルス V2.5：体験版ダウンロードより入手した。
ファイルの名称はndtr2kxp.exe。
体験版のダウンロード・利用は登録しなくても行えるが、体験版の更新作業は名前とメールアドレスの入力が求められる。
だがフリーのWebメールはダメらしい、困ったね。とりあえずは更新作業は行わず、体験版をインストールするのみとする。
ネットワークの接続を遮断しインストールを開始。
インストール時にユーザ名とパスワードの入力を求められたが、「更新パラメータを後で設定」を選択した。
システムツールよりシステム情報を開き、バージョンを確認する。
NOD32の情報
バージョン：1.1195（20050816）
日付：2005年8月16日
ウイルス定義ファイルビルド：6002
他のスキャナサポートに関する情報
アドバンスドヒューリスティックスキャンバージョン：1.018（20050805）
アドバンスドヒューリスティックビルド：1088
インターネットフィルタバージョン：1.002（20040708）
インターネットフィルタビルド：1013
アーカイブサポートバージョン：1.033（20050727）
アーカイブサポートビルド：1127
インストールされたコンポーネントの情報
NOD32 for Windows NT/2000/XP/2003 - ベースバージョン：2.50.42
NOD32 for Windows NT/2000/XP/2003 - インターネットサポートバージョン：2.50.42
NOD32 for Windows NT/2000/XP/2003 - 標準コンポーネントバージョン：2.50.42
なお最新のウイルス定義ファイルのバージョンは、NOD32定義ファイル: 1863 (20061113)であった。
eicar.comを手動スキャンしたところ、Ｅｉｃａｒ テストファイルの検出名で検出できた。
1年以上も前のバージョンである体験版では、更新をしなければ十分な評価を行えないような気がするし、大丈夫なのかなぁと不安になった。
体験版よりアップデートし感染マシンを修復する際には、第三者に依頼しIDを登録しパスワードを入手する必要がありそうだが、ライセンスなどに抵触しないのかが気になる。
フリーメールでの申し込みが制限されているため、プロバイダーで取得したメールアカウントなどを利用しなければならないのだろうか。感染中には避けたいものだ。
NOD32は独自のヒューリスティックスキャンが持ち味で、シグネチャファイル（ウイルス定義ファイル）が対応していないマルウェアであっても検出できるのが売り物だ。
だが1年3ヶ月前のヒューリスティックスキャンエンジンにどこまで期待できるのかは、自分としてはよくわからない。
F-Secure インターネットセキュリティ 体験版のダウンロード（F-Secure）より標準版を選択しダウンロード（ムーミン版に大変心を惹かれたのだが）。
ダウンロードしたファイル名はfs2007.exeである。
ネットワークの接続を遮断しインストールを開始。
試用なので、ライセンス キーコードは空白のままとした。
試用オプションより「F-Secure Internet Security 2007の30日」と「F-Secure Anti-Virus 2007の30日」を選択する画面が出たが、前者を選択。
インストール時のスキャンは行われなかった。
再起動後、画面右下のタスクよりアイコンをマウスの右クリックで開き、バージョン情報を開く。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認。
[FSAV_Database_Version]
Version=2006-05-25_01
自動更新より詳細画面を開き、自動更新を開く。
パターンファイル： 2006-05-25_01
スパイウェアの定義： 2005-06-01_01
詳細画面の自動更新よりダウンロードを開くと、これのみであった。
Software Package 7.00-362
eicar.comをポイントし、マウス右クリック。「eicar.comをウイルスとスパイウェアスキャン （V）」を選択。
だがスキャン ウィザードが表示され「スキャンしています」と表示されたまま、全くスキャンが進まないのだ。また「中止」ボタンもグレーアウトして選択できない。
ネットワークに接続し、更新。その後自動更新を促して一晩放置した。
バージョン情報は変化しなかった。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認するも、これまた変化が何故か無かった。バグか何かだろうか？
詳細設定の自動更新よりダウンロードを開く
F-Secure Anti-Spyware Database Update 2006-11-13_02
F-Secure Anti-Virus AVP Extended Update 2006-11-13_03
F-Secure Anti-Virus Libra Update 2006-11-13_03
F-Secure Anti-Virus Misc Update 2006-10-09_03
F-Secure Anti-Virus Orion Update 2006-11-13_03
F-Secure BlackLight Engine Update 2005-12-15_01
詳細画面の自動更新では
パターンファイル： 2006-11-13_03
スパイウェアの定義： 2006-11-13_03
システム制御： 2006-11-10_04
スパム制御： 2006-11-13_01
Webページ フィルタ： 2006-11-07_01
更新後にはeicar.comの手動スキャンはどうなるのだろうか、と思いきや。更新前と同じくスキャンウィザードは固まり全く進まないままなのだ。
だがダブルクリックしたらば、リアルタイムスキャンによりEICAR Test Fileの検出名で、eicar.comを検出できた。
体験版の入手と更新には個人情報の入力は求められなかった点は、体験版を使い倒すには有望やもしれない。
header.iniの値が更新後も変わらなかった点と、ビルドのNo.が更新前・更新後いずれも変わらなかったのは、よくわからないな。何か問題があったんだろうか。
また手動スキャンにてeicarを更新前・後いずれも検出できなかった点は、どうもおかしいのだ。
eicarに限らずどうも、手動スキャン全般が正常に行われないようだった。
トライアル版ソフトウェア - 個人、SOHO向け製品ストア（CA）より体験版をダウンロード。
ファイル名はiss3_jp_trial.exeである。
ネットワークの接続を遮断しインストールを開始。
「下位の汎用ライセンス（LGPL）」に同意。インストール後に再起動。
CA Anti-Virusの詳細設定を開き、ヘルプよりCA Anti-Virusのバージョン情報を開く。
製品バージョン：8.1.0.202
エンジンバージョン：空欄
ウイルスシグニチャのバージョン：空欄
CA Anti-Spywareの詳細設定を開き、ヘルプよりCA Anti-Spywareのバージョン情報を開く。
製品バージョン：9.0.0.33
エンジンバージョン：5.6.8.13
スパイウェア シグニチャ バージョン：2006/07/06
タスクトレイより「製品の更新」を開く。
Anti-Virus ArcLib Update：7.3.0.4
Anti-Virus Data Update：0.0.0.0
Anti-Virus Engine Update：12.6.2.0
Anti-Virus ISafe Update：8.0.7.0
Anti-Virus Product Update：8.1.0.202
Anti-Virus Realtime Driver Update：8.1.0.202
Anti-Virus Resource Update：8.1.0.202
CA Anti-Spyware Application Files：9.0.0.33
CA Anti-Spyware Clean：4.5.9.232
CA Anti-Spyware Real-time SDK：1.1.0.13
CA Anti-Spyware Signatures Update：2006.7.6.16
eicar.comをスキャンしようとしたのだが、「CA Anti-Virusが、コンピュータのウイルスのスキャンに必要なライブラリをロードできませんでした。」なるエラーダイアログが出る。
どうやら体験版では更新しなければ、ウイルスのスキャンは行えないようだ。
ネットワークに接続し、更新。
いきなりやたらと詳細な個人情報の入力を求めるフォームが出現した。
困ったなぁと考えてたらば、着々と何かをダウンロードし続けているのに気付き、フォームを閉じて観察。
どうやらフォームに入力しなくても、更新は行えるようだ。その後OS再起動。
CA Anti-Virusの詳細設定を開き、ヘルプよりCA Anti-Virusのバージョン情報を開く。
製品バージョン：8.1.0.208
エンジンバージョン：30.4.1
ウイルスシグニチャのバージョン：3192
CA Anti-Spywareの詳細設定を開き、ヘルプよりCA Anti-Spywareのバージョン情報を開く。
製品バージョン：9.0.0.39
エンジンバージョン：5.6.8.13
スパイウェア シグニチャ バージョン：2006/11/13
タスクトレイより「製品の更新」を開く。
Anti-Virus ArcLib Update：7.3.0.6
Anti-Virus Data Update：3192.0.0.0
Anti-Virus Engine Update：30.4.1.0
Anti-Virus ISafe Update：8.0.7.0
Anti-Virus Product Update：8.1.0.208
Anti-Virus Realtime Driver Update：8.1.0.208
Anti-Virus Resource Update：8.1.0.208
CA Anti-Spyware Application Files：9.0.0.39
CA Anti-Spyware Clean：4.5.9.391
CA Anti-Spyware Real-time SDK：1.1.0.13
CA Anti-Spyware Signatures Update：0.0.0.0 2006.11.13.16（更新）
更新後、eicarを手動でスキャンさせたらば検出できた。
導入前の段階でメールアドレスなどの登録が必要無い点は、体験版のみで感染マシンをあれこれしようプロジェクト的には望ましかった。
しかしインストール後に表示されるフォームでは、メールアドレス程度に留まらず氏名の入力が必須であり、任意の項目であるものの住所や市町村や郵便番号まで求められた。だがこのフォームに入力せず閉じたとしても、更新作業は行えた。
更新前の段階では、Anti-Virus機能は全く機能しなかった。
ewido anti-spywareなる製品があったのだが、Ewido Networks社はAVGのGRISOFT社に買収された（ウイルス対策ソフトのGRISOFT、独Ewido Networksを買収（2006年4月20日））。
現在Manual updatesではAVG Anti-Spywareとewido anti-spywareそれぞれのSignaturesが公開されているが、Ewido Networksのダウンロードページでは改名されたAVG Anti-Spywareしか取り扱っていないようだ。
アンチウイルスソフトではないものの、国内では割と知名度が高いようなのでついでに。
2006年11月18日、Free Download（Ewido Networks）より体験版を入手。ダウンロードには個人情報の入力は求められなかった。
ファイル名はavgas-setup-7.5.0.50.exeである。
ネットワークから切断し、インストール。
eicar.comはNot-A-Virus.TestEicarとして検出できた。
ネットワークに接続し、アップデート。登録作業をしなくても更新はできた。
体験版本体のavgas-setup-7.5.0.50.exeでデジタル署名を確認したところ、タイムスタンプは2006年10月7日であった。
この日が体験版ファイルの作成時としても、わずか42日後にシグネチャ対応数が44万から52万まで急増したのがどうも解せない。幾ら何でもなぁ。
いずれにしてもアップデート後に利用した方が、本領を発揮できそうだ。
ウイルス対策ソフトウェアの体験版を更新せずに、なおかつネットワークより極力隔離し利用できるのかとの視点そのものが、どうも適切ではなかったような気がしてきた。
今回供試した幾つかの製品では、ウイルス定義ファイルやエンジンは古いバージョンであったり、もしくはネットワークに接続して更新しなければ利用できなかった。
ネットワークより隔離した状態にて、体験版をインストール後にeicar.comを手動スキャンで検出できたのは、トレンドマイクロ（Trend Micro）社のウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版とNOD32体験版、AVG Anti-Spywareのみであった。
（McAfee Internet Security Suite 30日間お試し版はネットワークに接続しなければ、体験版本体のダウンロードができなかった）
一部の製品は体験版の利用・または更新のためには、メールアドレスや氏名などの入力を求められた。
マルウェアに感染中のパソコンでは、個人情報の入力は極力避けたいものであるのだが。
幾つかの製品が動作不良であった原因は、今の時期は各社とも2007年版をリリースしており、多くのバグや不具合が修復され尽されていないからやもしれない。
日を置いて改めて試す必要がありそうだ。
体験版のインストーラを他のパソコンにてダウンロードでき、体験版にてeicar.comを検出でき、体験版の入手や更新ファイルのダウンロードに個人情報の入力が必須ではない製品は、今回試した中ではトレンドマイクロ社のウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版とGrisoft社のAVG Anti-Spywareのみであった。
2007年版が新しくリリースされているようだが、個別の製品に関するレポート、例えば操作性や使用法や使い勝手などは、多分近日中にyassyさんが報告してくれるだろう。
大変楽しみにしております。
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版
感染後にアンチウイルスソフトをダウンロード販売で購入してはならない - マルウェア対策の極論
ウイルス定義ファイルやエンジンが極めて古いバージョンであるならば、バージョンアップをしなければ消費者は適切な評価を行えないし、ウイルスやスパイウェアの検出も期待通りには行えない可能性がある。
（インストール時に既にウイルス等に感染していないかスキャンする製品もあるが、あまりにも古いウイルス定義ファイル（シグネチャファイル）ならば意味が無い）
アンチウイルスソフトメーカーが無料・無償で利用できる体験版（トライアル版）のバージョンは、更新無くしてどこまで運用できるものなんだろうか？
アンチウイルスソフトメーカーが公開する体験版は、単なる製品PR目的以上の役割を果たした
企業側としてはPR目的で、気に入ったらば購入してくださいなとの目的なのだろう。
一部企業の体験版では、製品上のGUIに「代金を支払い有料版とするためのボタン」などがあるものだ。
アンチウイルスソフト体験版は、30日などの使用期限を定められるだけではなく、場合によっては機能面での制限を受けるものも存在した。
昔のメモがどこかへ行ってしまったのでどの製品がどのような状況だったのか、とっさには思い出せないのだが。一部の製品ではウイルス・マルウェアの検出はできてもそれだけとか、感染ファイルを削除できても修復はできないとか、アップデートできないなどの制限が加えられていた。
（駆除：厳密にはウイルスは既存のファイルへ上書き・追記するプログラムを指す。ウイルスによる感染ファイルを元に戻す作業を「修復・駆除」と呼称する。）
（削除：現在では多くのマルウェアは単体のファイルで導入され活動するため「ウイルス」ではない。本体のファイルをそのまま削除するようアドバイスされる事例が多い。この作業を「（ファイルの）削除」と呼称する。もちろん「既存ファイルにウイルスが感染したもの」を削除するものまた、「削除」である。）
少なくとも4年ほど前までの段階で、日本国内のネット上で最も広く利用された体験版は、トレンドマイクロ社のウイルスバスターとANTIDOTEであったような記憶がある。
（M社製品は当時評判がやや悪く、S社製品は微妙に検出力が悪かった。）
当時の質問掲示板では、マルウェアに感染したとの相談に対しての「アンチウイルスソフトを購入しろ！」との回答は、それほど多くはなかったし、体験版の利用とトレンドマイクロ社のオンラインスキャンとの併用を促す回答が多かった。
何故かって？かつては「ネットワークに接続しているだけで感染・または加害者となるネットワークワーム」は、多くのホームユーザーにとっては深刻な脅威ではなかったのだ。現在のように「ネットにルーターのNATを介さず接続すると、数分で何かに感染する」とか「BOTや（極めて狭義の）スパイウェアによる脅威」は、それほどの問題ではなかったのだ。
（2001年のCodeRedは多くのホームユーザーがWindows2000を導入していなかったため、言い回しは悪いが対岸の火事と感じる層も多かった）
（マスメーリング経由で感染するウイルスは多くの被害者を生んだものの、いずれも容易に解決できるものばかりであった）
以前はパソコンを一度購入してしまったらばメンテナンスなり保守なり管理のために、新たな製品を金銭を支払い導入するなんておかしいのではとの見解もかなり多かった。端的に書くと、アンチウイルスソフトウェアをわざわざ有償で導入するには否定的なユーザーの比率は極めて高かったのだ。
そのような時代に、体験版は多くのエンドユーザーにとって福音となったのだ。。。。「感染したかな？」と思ったらば体験版をダウンロードしてスキャン、使用期限が切れたらアンインストール、と（例が悪くてすいませんね）。
やがてアンチウイルスソフトウェアの導入は「ネットに接続するユーザーの義務である」論も沸いた。
メーカーが体験版を公開し、ウイルスやマルウェア対策の啓蒙活動の一環としなかったらば、アンチウイルスソフトウェアの導入は現在ほど常識化されていなかったのではないだろうか。
体験版は潜在的顧客の掘り起こしのための宣伝に留まらず、啓蒙活動にも多大な役割を果たしたのではなかろうか。
感染後にアンチウイルスソフトの体験版を導入・やりくりするに当っての問題点と検証作業
質問掲示板などの場にて、ウイルスやスパイウェアに感染したとの相談をよく目にする。
回答としては「何かのアンチウイルスソフトをまず購入しアップデートしてくれ」が第一なのだが、ある日ふと考えた。
平時ならばゆっくりと余裕を持って製品を選べる消費者も、危急の場では緊急性が求められ、製品の十分な評価を事前に行うゆとりは無いだろう。
その場を体験版などで何とかヤリクリし、その後にゆっくりと自分に最も合った製品を選ぶだけの余裕が得られれば、アンチウイルスソフトウェアのそれぞれの特性なりを鑑みた上で最も適切な製品を選べるのではないだろうか。
余計な出費を抑えたいとの意見もよくわかる。
問題を解決するにしても、金銭的コストは抑えたいものだ。
これらをうまく解決する方策として、アンチウイルスソフトメーカーが提供する体験場なりトライアル版を利用し、マルウェア感染を解決できるならば、望ましいことこの上ない。
。。。。。とは言えども。体験版を導入するには相応の問題が伴うのだ。
「何かのマルウェア」に感染した場合、ネットワークより速やかに隔離し処理するように推奨される。
ネットワークワームに感染した場合には加害者とならないようにするために、またマスメーリングにて拡散するウイルスなどはメールを第三者に意図せず送らないように、との背景だ。
ネットワークに接続するのは極力避けたいし、できる限り最新のバージョンを初めから入手したいものだ。
体験版インストール直後と、更新後の検索エンジン・定義ファイル（シグネチャファイル）のバージョンを比較し、配布されている体験版に含有されるバージョンの古さをチェックし、体験版を導入後に更新せずに活用し得るものなのか否かが大変気になる。
更には、登録作業が更新に必要な体験版を配布するメーカーもあるが、どのような実態なのかが気になる。
体験版は更新せずともウイルスを検出できるのだろうか？
アンチウイルスソフトウェアの挙動をチェックするためによく利用されるeicar（The Anti-Virus or Anti-Malware test file）よりeicor.comをダウンロードしてスキャンし、正常にスキャンが行われ検出されるのか、eicar.comを手動スキャンし試す。
忘れがちだが、最も重要な点を一つ。
感染中のマシンでは多くの情報、例えばフォームに入力した氏名やメールアドレスの保護は十分には行えないだろう。
画面をキャプチャされいずこかへ送信されたらば、どうなんだろうか？
感染したと気付いたらば、個人情報の取り扱いには細心の注意を払う必要がある。
感染中のパソコンより氏名やメールアドレスを入力するのは極力避けたいものだ。
だから、体験版の利用や更新に個人情報の入力が求められるような製品は、感染中のパソコンにて修復作業に用いるには難がある。
ウイルス定義ファイルやエンジンを手動でダウンロードし導入するならば、多少事情は異なるだろう。
だが今回のテーマは「質問掲示板にて質問者へ返信すべき回答やアドバイスのために、判断基準を探る目的」であるため、割愛させていただく。
トレンドマイクロ（Trend Micro）社のウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版
ウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版（TrendMicro）をダウンロード。
ActiveXコントロールによる「かんたん！インストール」ではなく、完全パックプログラム（自己解凍式 (81.6MB)）をダウンロード。体験版ダウンロードの際には個人情報の入力は求められなかった。
ファイル名はvb27f1500eTE.exeであった。
ネットワークの接続を遮断しインストールを開始。
「インストール前のチェック」にてウイルススキャン。「検索するのは、インストールに関連する一部のファイルのみです。」なのだそうだ。
ウイルスバスター 2007 Trend Flex Securityを起動しバージョンを確認。
プログラムバージョン：15.00.1329
検索エンジンのバージョン：8.31.1002
パターンファイル番号：3.681.50
eicar.comをマウス右クリックし、ウイルス検索の実行。eicar.comはEicar_test_fileとして検出された。
アップデートを実行
ネットワークに接続し、アップデート開始。15,782KBものアプデータをダウンロードした。
「ウイルスバスター2007を無料*で30日間お試しいただけます」なるオンラインユーザ登録表示が出たものの、無視してもアップデートは成功した。
OS再起動後にヘルプとサポートよりバージョン情報を確認。やや古いバージョンよりアップデートしたようだ。
プログラムバージョン：15.00.1329
検索エンジンのバージョン：8.32.1003
パターンファイル番号：3.919.50
ウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版のまとめ
パターンファイル情報（TrendMicro）によれば、パターンファイル番号3.681.xxは2006年8月23日リリースで3ヶ月前のものであった。
検索エンジンのバージョンはサポート - 検索エンジン リリースノート（TrendMicro）にて確認したらば、いずれも製品上で表示された8.32.xxxxではなく8.320.xxxxなのだな。
VSAPI 8.310のリリース日は2006年8月24日、VSAPI 8.320のリリース日は2006年9月21日であった。
よくわからないな。
インストーラーを入手してしまえば利用・更新のために個人情報などを入力する機会は無いために、既に感染中のマシンで体験版にて何とかするとのテーマにては、かなり有望やもしれない。
McAFEE社のMcAfee Internet Security Suite 30日間お試し版
McAfee Internet Security Suiteの30日間お試し版をホーム ユーザ向け McAfee - パソコン用コンピュータ ウイルス ソフトウェアおよびインターネット セキュリティ（McAFEE）よりダウンロード。
「アカウントを作成」なる画面より、氏名・Emailアドレス・パスワードの入力を求められた。氏名とEmailアドレスはアクタリスク（*）ではない。
2006年11月13日登録操作。
アカウントのアクティブ化処理のため、送信されたメール中に記載されたURLを開く。
McAfee Download Manager（577KB・591,400バイト）なるプログラムの導入を要求されたので、ダウンロード。どうやら体験版本体を直接ダウンロードできるのではないようだ。
これでは体験版は最新なのか否かを判別できないではないか。。。。。。。。
ネットワークに接続した状態で、DMSetup.exeをダブルクリックして実行。
Eメールアドレスとパスワードの入力を求められたので、入力。Eメールアドレスはアクタリスク（*）ではなくそのまま表示された。
McAfee Internet Security Suiteをダウンロード。
「コンピュータのウイルスをスキャンしています。」と表示され、いきなりスキャンが開始される。
インストール終了後に更新作業を行ったらば、「更新はありません」と表示された。
本来の目的、つまり体験場本体となるプログラムをダウンロードしてバージョンを確認するとの検証作業は行えなかった。
McAfee Internet Security Suite 体験版のまとめ
メールアドレスを入力しパスワードを入手しなければ、インストールもできなかった（yahoo!などのフリーメールアカウントでも利用できるため、感染マシン以外の場で登録はできるだろう）。
直接体験版のインストーラーのファイルを入手できず、DMSetup.exe（ダウンロードマネージャか？）経由でインストールしなければならない点は、引っかかりを感じた。
「体験版のみで何とかするぞ！プロジェクト」には多くの課題を残した。
ノートン インターネットセキュリティ 2007（Norton Internet Security 2007）（Symantec）体験版
体験版ダウンロード（シマンテックストア ）より体験版をダウンロードしようとしたのだが、メールアドレスの入力を求められたので入力。
「ダウンロードを実行」のボタンを押してもダウンロードが始まらないので、ボタン上でマウスを右クリックし、「対象をファイルに保存」としてexeファイルを入手した。
だが16.0KB/Secは幾らなんでも遅すぎるのではないだろうか。
体験版の利用期限が15日間なのは、他メーカーと比較してやや短いようだ。
インストーラーのファイルnis07100jp.exeをダブルクリックし、「インストール前のスキャン」開始。
OS再起動。
Norton Protection Centerを開く。
Norton Protection Centerタブにはバージョンについての情報は掲載されていない。
Norton Internet Securityタブでは、「Norton Internet Securityの設定が完了していません。」と表示が出るのみ。サポートより「更新サービスとアカウントの情報」→「Norton Ineternet Securityのバージョン情報」を開く。バージョン：10.0.0.86であった。
「設定を完了するには[続行]をクリックします。と表示されているので、続行をクリックするも、「Symantecがすでに起動中です。お待ちください。」とのダイアログが出る。
eicar.com上でマウスを右クリックし「Norton Internet Securityでスキャン（A）」を選択するも、またしても「Symantecがすでに起動中です。お待ちください。」との意味が無いダイアログが出るだけだ。
ネットワークに接続し、LiveUpdateを実行。だが何もダウンロードする気配が無いし固まったので、OSを再起動した。
再度LiveUpdateを行ったが、途中で固まってしまった。
ノートン インターネットセキュリティ 2007（Norton Internet Security 2007）（Symantec）体験版のまとめ
どうも今回試した体験版を利用するには、問題があるようだ。
日を置いて改めて試す予定。
NOD32（販売はキャノンシステムソリューション株式会社、製造はEset社）体験版プログラム
NOD32アンチウイルス V2.5 体験版プログラム for Microsoft Windows NT/2000/XPをキヤノンシステムソリューションズ：NOD32 アンチウイルス V2.5：体験版ダウンロードより入手した。
ファイルの名称はndtr2kxp.exe。
体験版のダウンロード・利用は登録しなくても行えるが、体験版の更新作業は名前とメールアドレスの入力が求められる。
２．ユーザ名とパスワードの取得について
NOD32アンチウイルスのウイルス定義ファイルや、プログラムコンポーネントを
更新するには、適切なユーザ名とパスワードが必要になります。
NOD32アンチウイルスをインストールする前に、必ず体験版のお申し込みを
行い、ユーザ名とパスワードを取得してください。
インストールにあたってのご案内（キャノンシステムソリューション株式会社）
だがフリーのWebメールはダメらしい、困ったね。とりあえずは更新作業は行わず、体験版をインストールするのみとする。
・ 一部のフリーアカウント（フリーのメールアドレス）ではお申し込みいただけません。
・ 携帯電話、PHSなど一部のメールアドレスはご利用いただけません。
更新するには、適切なユーザ名とパスワードが必要になります。
NOD32アンチウイルスをインストールする前に、必ず体験版のお申し込みを
行い、ユーザ名とパスワードを取得してください。
キヤノンシステムソリューションズ：NOD32 アンチウイルス V2.5：体験版ダウンロード
ネットワークの接続を遮断しインストールを開始。
インストール時にユーザ名とパスワードの入力を求められたが、「更新パラメータを後で設定」を選択した。
システムツールよりシステム情報を開き、バージョンを確認する。
NOD32の情報
バージョン：1.1195（20050816）
日付：2005年8月16日
ウイルス定義ファイルビルド：6002
他のスキャナサポートに関する情報
アドバンスドヒューリスティックスキャンバージョン：1.018（20050805）
アドバンスドヒューリスティックビルド：1088
インターネットフィルタバージョン：1.002（20040708）
インターネットフィルタビルド：1013
アーカイブサポートバージョン：1.033（20050727）
アーカイブサポートビルド：1127
インストールされたコンポーネントの情報
NOD32 for Windows NT/2000/XP/2003 - ベースバージョン：2.50.42
NOD32 for Windows NT/2000/XP/2003 - インターネットサポートバージョン：2.50.42
NOD32 for Windows NT/2000/XP/2003 - 標準コンポーネントバージョン：2.50.42
なお最新のウイルス定義ファイルのバージョンは、NOD32定義ファイル: 1863 (20061113)であった。
eicar.comを手動スキャンしたところ、Ｅｉｃａｒ テストファイルの検出名で検出できた。
NOD32 体験版プログラムのまとめ
1年以上も前のバージョンである体験版では、更新をしなければ十分な評価を行えないような気がするし、大丈夫なのかなぁと不安になった。
体験版よりアップデートし感染マシンを修復する際には、第三者に依頼しIDを登録しパスワードを入手する必要がありそうだが、ライセンスなどに抵触しないのかが気になる。
フリーメールでの申し込みが制限されているため、プロバイダーで取得したメールアカウントなどを利用しなければならないのだろうか。感染中には避けたいものだ。
NOD32は独自のヒューリスティックスキャンが持ち味で、シグネチャファイル（ウイルス定義ファイル）が対応していないマルウェアであっても検出できるのが売り物だ。
だが1年3ヶ月前のヒューリスティックスキャンエンジンにどこまで期待できるのかは、自分としてはよくわからない。
F-secure インターネットセキュリティ 2007 体験版（F-Secure社）
F-Secure インターネットセキュリティ 体験版のダウンロード（F-Secure）より標準版を選択しダウンロード（ムーミン版に大変心を惹かれたのだが）。
ダウンロードしたファイル名はfs2007.exeである。
ネットワークの接続を遮断しインストールを開始。
試用なので、ライセンス キーコードは空白のままとした。
試用オプションより「F-Secure Internet Security 2007の30日」と「F-Secure Anti-Virus 2007の30日」を選択する画面が出たが、前者を選択。
インストール時のスキャンは行われなかった。
再起動後、画面右下のタスクよりアイコンをマウスの右クリックで開き、バージョン情報を開く。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認。
[FSAV_Database_Version]
Version=2006-05-25_01
自動更新より詳細画面を開き、自動更新を開く。
パターンファイル： 2006-05-25_01
スパイウェアの定義： 2005-06-01_01
詳細画面の自動更新よりダウンロードを開くと、これのみであった。
Software Package 7.00-362
eicar.comをポイントし、マウス右クリック。「eicar.comをウイルスとスパイウェアスキャン （V）」を選択。
だがスキャン ウィザードが表示され「スキャンしています」と表示されたまま、全くスキャンが進まないのだ。また「中止」ボタンもグレーアウトして選択できない。
更新作業を行う
ネットワークに接続し、更新。その後自動更新を促して一晩放置した。
バージョン情報は変化しなかった。
F-Secure Internet Security 2007 7.00 ビルド362
F-Secure アンチウイルス 7.00 build 12371
C:\Program Files\F-Secure\Anti-Virus\header.ini よりバージョンを確認するも、これまた変化が何故か無かった。バグか何かだろうか？
詳細設定の自動更新よりダウンロードを開く
F-Secure Anti-Spyware Database Update 2006-11-13_02
F-Secure Anti-Virus AVP Extended Update 2006-11-13_03
F-Secure Anti-Virus Libra Update 2006-11-13_03
F-Secure Anti-Virus Misc Update 2006-10-09_03
F-Secure Anti-Virus Orion Update 2006-11-13_03
F-Secure BlackLight Engine Update 2005-12-15_01
詳細画面の自動更新では
パターンファイル： 2006-11-13_03
スパイウェアの定義： 2006-11-13_03
システム制御： 2006-11-10_04
スパム制御： 2006-11-13_01
Webページ フィルタ： 2006-11-07_01
更新後にはeicar.comの手動スキャンはどうなるのだろうか、と思いきや。更新前と同じくスキャンウィザードは固まり全く進まないままなのだ。
だがダブルクリックしたらば、リアルタイムスキャンによりEICAR Test Fileの検出名で、eicar.comを検出できた。
F-secure インターネットセキュリティ のまとめ
体験版の入手と更新には個人情報の入力は求められなかった点は、体験版を使い倒すには有望やもしれない。
header.iniの値が更新後も変わらなかった点と、ビルドのNo.が更新前・更新後いずれも変わらなかったのは、よくわからないな。何か問題があったんだろうか。
また手動スキャンにてeicarを更新前・後いずれも検出できなかった点は、どうもおかしいのだ。
eicarに限らずどうも、手動スキャン全般が正常に行われないようだった。
CA インターネット セキュリティ スイート 2007 体験版（CA：Computer Associates International, Inc）
トライアル版ソフトウェア - 個人、SOHO向け製品ストア（CA）より体験版をダウンロード。
ファイル名はiss3_jp_trial.exeである。
ネットワークの接続を遮断しインストールを開始。
「下位の汎用ライセンス（LGPL）」に同意。インストール後に再起動。
CA Anti-Virusの詳細設定を開き、ヘルプよりCA Anti-Virusのバージョン情報を開く。
製品バージョン：8.1.0.202
エンジンバージョン：空欄
ウイルスシグニチャのバージョン：空欄
CA Anti-Spywareの詳細設定を開き、ヘルプよりCA Anti-Spywareのバージョン情報を開く。
製品バージョン：9.0.0.33
エンジンバージョン：5.6.8.13
スパイウェア シグニチャ バージョン：2006/07/06
タスクトレイより「製品の更新」を開く。
Anti-Virus ArcLib Update：7.3.0.4
Anti-Virus Data Update：0.0.0.0
Anti-Virus Engine Update：12.6.2.0
Anti-Virus ISafe Update：8.0.7.0
Anti-Virus Product Update：8.1.0.202
Anti-Virus Realtime Driver Update：8.1.0.202
Anti-Virus Resource Update：8.1.0.202
CA Anti-Spyware Application Files：9.0.0.33
CA Anti-Spyware Clean：4.5.9.232
CA Anti-Spyware Real-time SDK：1.1.0.13
CA Anti-Spyware Signatures Update：2006.7.6.16
eicar.comをスキャンしようとしたのだが、「CA Anti-Virusが、コンピュータのウイルスのスキャンに必要なライブラリをロードできませんでした。」なるエラーダイアログが出る。
どうやら体験版では更新しなければ、ウイルスのスキャンは行えないようだ。
更新作業を行う
ネットワークに接続し、更新。
いきなりやたらと詳細な個人情報の入力を求めるフォームが出現した。
困ったなぁと考えてたらば、着々と何かをダウンロードし続けているのに気付き、フォームを閉じて観察。
どうやらフォームに入力しなくても、更新は行えるようだ。その後OS再起動。
CA Anti-Virusの詳細設定を開き、ヘルプよりCA Anti-Virusのバージョン情報を開く。
製品バージョン：8.1.0.208
エンジンバージョン：30.4.1
ウイルスシグニチャのバージョン：3192
CA Anti-Spywareの詳細設定を開き、ヘルプよりCA Anti-Spywareのバージョン情報を開く。
製品バージョン：9.0.0.39
エンジンバージョン：5.6.8.13
スパイウェア シグニチャ バージョン：2006/11/13
タスクトレイより「製品の更新」を開く。
Anti-Virus ArcLib Update：7.3.0.6
Anti-Virus Data Update：3192.0.0.0
Anti-Virus Engine Update：30.4.1.0
Anti-Virus ISafe Update：8.0.7.0
Anti-Virus Product Update：8.1.0.208
Anti-Virus Realtime Driver Update：8.1.0.208
Anti-Virus Resource Update：8.1.0.208
CA Anti-Spyware Application Files：9.0.0.39
CA Anti-Spyware Clean：4.5.9.391
CA Anti-Spyware Real-time SDK：1.1.0.13
CA Anti-Spyware Signatures Update：0.0.0.0 2006.11.13.16（更新）
更新後、eicarを手動でスキャンさせたらば検出できた。
CA インターネット セキュリティ スイート 2007 体験版のまとめ
導入前の段階でメールアドレスなどの登録が必要無い点は、体験版のみで感染マシンをあれこれしようプロジェクト的には望ましかった。
しかしインストール後に表示されるフォームでは、メールアドレス程度に留まらず氏名の入力が必須であり、任意の項目であるものの住所や市町村や郵便番号まで求められた。だがこのフォームに入力せず閉じたとしても、更新作業は行えた。
更新前の段階では、Anti-Virus機能は全く機能しなかった。
AVG Anti-Spyware（旧：ewido anti-spyware）（Grisoft）
ewido anti-spywareなる製品があったのだが、Ewido Networks社はAVGのGRISOFT社に買収された（ウイルス対策ソフトのGRISOFT、独Ewido Networksを買収（2006年4月20日））。
現在Manual updatesではAVG Anti-Spywareとewido anti-spywareそれぞれのSignaturesが公開されているが、Ewido Networksのダウンロードページでは改名されたAVG Anti-Spywareしか取り扱っていないようだ。
アンチウイルスソフトではないものの、国内では割と知名度が高いようなのでついでに。
2006年11月18日、Free Download（Ewido Networks）より体験版を入手。ダウンロードには個人情報の入力は求められなかった。
ファイル名はavgas-setup-7.5.0.50.exeである。
ネットワークから切断し、インストール。
Versionは7.5.0.50 trial
Signatures in database 443,831
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\Signatures中のdatファイルは、2000.datから2123.datまでであった。
eicar.comはNot-A-Virus.TestEicarとして検出できた。
ネットワークに接続し、アップデート。登録作業をしなくても更新はできた。
Versionは7.5.0.50 trial
Signatures in database 525,664
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\Signatures中のdatファイルは、2000.datから2242.datとなった。
AVG Anti-Spyware（旧：ewido anti-spyware）（Grisoft）のまとめ
体験版本体のavgas-setup-7.5.0.50.exeでデジタル署名を確認したところ、タイムスタンプは2006年10月7日であった。
この日が体験版ファイルの作成時としても、わずか42日後にシグネチャ対応数が44万から52万まで急増したのがどうも解せない。幾ら何でもなぁ。
いずれにしてもアップデート後に利用した方が、本領を発揮できそうだ。
Conclusion
ウイルス対策ソフトウェアの体験版を更新せずに、なおかつネットワークより極力隔離し利用できるのかとの視点そのものが、どうも適切ではなかったような気がしてきた。
今回供試した幾つかの製品では、ウイルス定義ファイルやエンジンは古いバージョンであったり、もしくはネットワークに接続して更新しなければ利用できなかった。
ネットワークより隔離した状態にて、体験版をインストール後にeicar.comを手動スキャンで検出できたのは、トレンドマイクロ（Trend Micro）社のウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版とNOD32体験版、AVG Anti-Spywareのみであった。
（McAfee Internet Security Suite 30日間お試し版はネットワークに接続しなければ、体験版本体のダウンロードができなかった）
一部の製品は体験版の利用・または更新のためには、メールアドレスや氏名などの入力を求められた。
マルウェアに感染中のパソコンでは、個人情報の入力は極力避けたいものであるのだが。
幾つかの製品が動作不良であった原因は、今の時期は各社とも2007年版をリリースしており、多くのバグや不具合が修復され尽されていないからやもしれない。
日を置いて改めて試す必要がありそうだ。
体験版のインストーラを他のパソコンにてダウンロードでき、体験版にてeicar.comを検出でき、体験版の入手や更新ファイルのダウンロードに個人情報の入力が必須ではない製品は、今回試した中ではトレンドマイクロ社のウイルスバスター2007 トレンド フレックス セキュリティ 30日期間限定版とGrisoft社のAVG Anti-Spywareのみであった。
2007年版が新しくリリースされているようだが、個別の製品に関するレポート、例えば操作性や使用法や使い勝手などは、多分近日中にyassyさんが報告してくれるだろう。
大変楽しみにしております。
関連記事
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版
感染後にアンチウイルスソフトをダウンロード販売で購入してはならない - マルウェア対策の極論
Posted by Luca at 23:05
│
│
2006年11月13日 - メーカー製パソコンで表示される広告は、悪質なアドウェアと大差ない迷惑行為
ある日店頭に並ぶパソコンをふと目にしたらば、唖然とする光景が目の前に。
パソコンの画面に怪しい広告がウジャウジャと表示されていたのだ。
ついぞ3-4年ほど前、メーカー製パソコンに異変が起きた。
画面上に幾つもの広告 - それもメーカーとは直接の関わりが無いものばかり - が表示されており、度肝を抜かれた。
。。。。。アドウェア（Adware）かスパイウェア（Spyware）に大量感染でもしているのか？と思いきや、そうではない。
多くの広告は、メーカー（例えばFMVなら富士通社）がパソコン出荷時に予めインストールした迷惑な「何か」が表示していたのだ。
邪魔なアイコンを削除したい（2003年7月31日）（デジタルARENA）にて掲載されている画像の右側、「常駐ソフト」のようなものだ。
デジタルARENAの画像はまだおとなしい部類で、自分が目にした中で最も悲惨な状態であったものは5つのプッシュ型広告がかなりの面積を占め表示されているものだ。
しかもパソコン製造元のメーカーとは全く無縁の商業サービスばかりが表示され、悪質なアドウェアとどんな違いがあるのやらと。また定期的にネットに接続し一部の広告は入れ替えられた。
ある意味で悪質な事に、この広告は消し方は玄人にしかわからないものだった。
アンインストーラーが無く、アンインストールができなかったのだ！
（広告を表示するソフトウェアが使用者の許諾を得ず・なおかつアンインストールの方法を提供しないならば、常識的分類ではマルウェア（悪質なソフトウェア）と区分される）
（面倒な話は、マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（Semplice）を参照していただきたい）
OS起動時に勝手に起動しないようにするには、スタートアップフォルダ中に設置されたショートカットを削除するだけの単純な作業なのだが、一般の方はそんなのわかるはずがない。またメーカーサイトでは迷惑な広告を削除する方法を掲載していなかった（自分が見つけられなかっただけやもしれないが）。
3年も前の記事に文句を言っても仕方が無いのやもしれないが。日経パソコン編集部はまさかとは思うけど、迷惑な常駐型ソフトウェアをエンドユーザーがわざわざ手動で削除しなければならないのは当然だと考えてはいませんよね？
世間では無料サービスを利用する上での代償として、広告を表示するのは（大抵は）当たり前となっている。
（無料と無償は同義ではない）
無料で何らかのサービス、例えば有用なソフトウェアを利用するならば、エンドユーザーは広告の表示を甘受するのはある意味で義務なのだろう。
だが、メーカー製パソコンにてメーカーの宣伝バー中にて表示されるサードパーティの広告はどうなんだ？
消費者は代金を支払いパソコンを購入し、家庭に持ち帰りセットアップする。使用許諾説明書などがセットアップ時に表示されるだろうが、ここに「しつこい宣伝を甘受して下さい」なんて説明はあるのかい？
消費者の許諾を得ずに広告を表示するのは、どうなのかね。
メーカー側はバンドルするソフトウェアを製造・販売・配布する業者より、相応の代価を受け取るだろう。
広告関連業者より代価を受け取った上で、末端消費者のパソコンに広告を表示する。
おかしな話ですね。
消費者はパソコン製造メーカーがスポンサー料金を受け取り表示する、株価や旅行・プロバイダー・その他の商業サービスの広告を、無駄に延々と眺めなければならないし、デスクトップ上のある一定の面積を占有されるためにユーザビリティは低下する。
おかしな話ですね。
もしもメーカー側が、「広告を表示しているから製品の金額が安くなっているのだ」などと言い訳なされるならば、消費者をあまりにも軽視している。
無駄な広告を了解も得ずに表示され利便性を損なった消費者は、そんなのは望まないだろう。
（BTO販売ではこれらの「広告入り」か否かを選択できる）
この手の広告が「しつこく」「大量」に表示されるようになったのは、WindowsMe以降だろうか（Windows2000は企業向けOSで、店頭でプリインストール機を購入するような例はかなり少なかっただろう）
Sempliceの閲覧者の多くは、Windows95/98/Meを利用していないので、ピンと来ないやもしれないんだけど。
Windows 9x系OSにはリソースなるものがあり、メモリ使用量やCPU使用量とは別に、アプリケーションやOSが利用するリソースがあった。
リソースはアプリケーションを実行すると減り、一部のアプリケーションは終了後もリソースを開放しなかった（MS OFficeなども！）。大体50を切るとパソコンは反応が遅くなり、40を切るとフリーズ - そう、青い画面 - で固まるのだった。
自分がかつて利用していたWindows98 SEは、OS起動直後の段階でリソースメーターにて計測すると大体80台程度だったかな。多少記憶が曖昧。
（Windows95では94%（だったっけ？）にまでカスタマイズしたが、何をどうやったのか今では覚えていない）
だが当時店頭で販売されているWindowsMe プリインストール機の一部では、OS起動直後にいきなり60%台となり、酷いものではいきなり50%台であったのだ。
これではすぐにWinodwsMeがフリーズし固まるのは、当然ですね
パソコンメーカーが「余計な・不要かつ無用な」常駐ソフトウェアを大量に仕込んでくれたために、WindowsMeプリインストール機は、購入後のカスタマイズ無しでは使いようがない状態となっている事例が多数存在した。
自分はWindowsMeは、それほど酷い製品ではないと考えている。だがネット上ではかなり評判が悪かったのも事実だ。
「動作が不安定」「すぐフリーズして固まる」などのレポートを説明するに当って、要因の幾つかはメーカーが無用に・メチャクチャ仕込んだプリインストールソフトウェア（前述の広告掲載プログラムを含む）によるのは、間違いの無い事実だ。
知人がパソコンを購入したので、初期セットアップや設定を手伝ったのだが。
アドウェアなり許諾を得ない広告表示に風当たりが強い時代なのに、まだ広告（それもメーカーと直接の関係が無いサードパーティのもの）が多数表示されていたのだな。
一言だけ言わせてもらいたい。
「。。。。。。。。まだやってるのか、お前ら」
パソコンの画面に怪しい広告がウジャウジャと表示されていたのだ。
メーカー製パソコンのプッシュ型広告は、迷惑ソフトウェア
ついぞ3-4年ほど前、メーカー製パソコンに異変が起きた。
画面上に幾つもの広告 - それもメーカーとは直接の関わりが無いものばかり - が表示されており、度肝を抜かれた。
。。。。。アドウェア（Adware）かスパイウェア（Spyware）に大量感染でもしているのか？と思いきや、そうではない。
多くの広告は、メーカー（例えばFMVなら富士通社）がパソコン出荷時に予めインストールした迷惑な「何か」が表示していたのだ。
邪魔なアイコンを削除したい（2003年7月31日）（デジタルARENA）にて掲載されている画像の右側、「常駐ソフト」のようなものだ。
デジタルARENAの画像はまだおとなしい部類で、自分が目にした中で最も悲惨な状態であったものは5つのプッシュ型広告がかなりの面積を占め表示されているものだ。
しかもパソコン製造元のメーカーとは全く無縁の商業サービスばかりが表示され、悪質なアドウェアとどんな違いがあるのやらと。また定期的にネットに接続し一部の広告は入れ替えられた。
ある意味で悪質な事に、この広告は消し方は玄人にしかわからないものだった。
アンインストーラーが無く、アンインストールができなかったのだ！
（広告を表示するソフトウェアが使用者の許諾を得ず・なおかつアンインストールの方法を提供しないならば、常識的分類ではマルウェア（悪質なソフトウェア）と区分される）
（面倒な話は、マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（Semplice）を参照していただきたい）
OS起動時に勝手に起動しないようにするには、スタートアップフォルダ中に設置されたショートカットを削除するだけの単純な作業なのだが、一般の方はそんなのわかるはずがない。またメーカーサイトでは迷惑な広告を削除する方法を掲載していなかった（自分が見つけられなかっただけやもしれないが）。
「スタートアップ」に見当たらないときは、メーカー製の標準添付ソフトで対応できることがあります。例えば、富士通は「FMVランチャー設定」などのツールで、デスクトップ上に表示されるボタン類を削除できます。これ以外のものは、マニュアルやメーカーのサポートページなどを確認した方がよいでしょう。
邪魔なアイコンを削除したい（2003年7月31日）（デジタルARENA）
3年も前の記事に文句を言っても仕方が無いのやもしれないが。日経パソコン編集部はまさかとは思うけど、迷惑な常駐型ソフトウェアをエンドユーザーがわざわざ手動で削除しなければならないのは当然だと考えてはいませんよね？
代償の支払いと宣伝 - 代価を支払った消費者に対する過剰な宣伝は止めるべきだ
世間では無料サービスを利用する上での代償として、広告を表示するのは（大抵は）当たり前となっている。
（無料と無償は同義ではない）
無料で何らかのサービス、例えば有用なソフトウェアを利用するならば、エンドユーザーは広告の表示を甘受するのはある意味で義務なのだろう。
だが、メーカー製パソコンにてメーカーの宣伝バー中にて表示されるサードパーティの広告はどうなんだ？
消費者は代金を支払いパソコンを購入し、家庭に持ち帰りセットアップする。使用許諾説明書などがセットアップ時に表示されるだろうが、ここに「しつこい宣伝を甘受して下さい」なんて説明はあるのかい？
消費者の許諾を得ずに広告を表示するのは、どうなのかね。
メーカー側はバンドルするソフトウェアを製造・販売・配布する業者より、相応の代価を受け取るだろう。
広告関連業者より代価を受け取った上で、末端消費者のパソコンに広告を表示する。
おかしな話ですね。
消費者はパソコン製造メーカーがスポンサー料金を受け取り表示する、株価や旅行・プロバイダー・その他の商業サービスの広告を、無駄に延々と眺めなければならないし、デスクトップ上のある一定の面積を占有されるためにユーザビリティは低下する。
おかしな話ですね。
もしもメーカー側が、「広告を表示しているから製品の金額が安くなっているのだ」などと言い訳なされるならば、消費者をあまりにも軽視している。
無駄な広告を了解も得ずに表示され利便性を損なった消費者は、そんなのは望まないだろう。
（BTO販売ではこれらの「広告入り」か否かを選択できる）
メーカーが強制表示する広告表示用常駐型プログラムが、パソコンの動作不良や不具合を誘発した
この手の広告が「しつこく」「大量」に表示されるようになったのは、WindowsMe以降だろうか（Windows2000は企業向けOSで、店頭でプリインストール機を購入するような例はかなり少なかっただろう）
Sempliceの閲覧者の多くは、Windows95/98/Meを利用していないので、ピンと来ないやもしれないんだけど。
Windows 9x系OSにはリソースなるものがあり、メモリ使用量やCPU使用量とは別に、アプリケーションやOSが利用するリソースがあった。
リソースはアプリケーションを実行すると減り、一部のアプリケーションは終了後もリソースを開放しなかった（MS OFficeなども！）。大体50を切るとパソコンは反応が遅くなり、40を切るとフリーズ - そう、青い画面 - で固まるのだった。
自分がかつて利用していたWindows98 SEは、OS起動直後の段階でリソースメーターにて計測すると大体80台程度だったかな。多少記憶が曖昧。
（Windows95では94%（だったっけ？）にまでカスタマイズしたが、何をどうやったのか今では覚えていない）
だが当時店頭で販売されているWindowsMe プリインストール機の一部では、OS起動直後にいきなり60%台となり、酷いものではいきなり50%台であったのだ。
これではすぐにWinodwsMeがフリーズし固まるのは、当然ですね
パソコンメーカーが「余計な・不要かつ無用な」常駐ソフトウェアを大量に仕込んでくれたために、WindowsMeプリインストール機は、購入後のカスタマイズ無しでは使いようがない状態となっている事例が多数存在した。
自分はWindowsMeは、それほど酷い製品ではないと考えている。だがネット上ではかなり評判が悪かったのも事実だ。
「動作が不安定」「すぐフリーズして固まる」などのレポートを説明するに当って、要因の幾つかはメーカーが無用に・メチャクチャ仕込んだプリインストールソフトウェア（前述の広告掲載プログラムを含む）によるのは、間違いの無い事実だ。
先日の出来事
知人がパソコンを購入したので、初期セットアップや設定を手伝ったのだが。
アドウェアなり許諾を得ない広告表示に風当たりが強い時代なのに、まだ広告（それもメーカーと直接の関係が無いサードパーティのもの）が多数表示されていたのだな。
一言だけ言わせてもらいたい。
「。。。。。。。。まだやってるのか、お前ら」
Posted by Luca at 21:46
│
│
2006年11月12日 - Dialer（ダイヤラー・ダイアラー）による不正な料金請求と、日本語表記
Dialerは一般にはダイヤルアップモデムの設定を改変し、接続先の電話番号をダイヤルQ2や国際電話などの有料サービスへ変更するようなタイプのマルウェアを指す。
ダイヤラーによる接続先電話番号改変は、日本国内では強制架電と呼ばれた。
主な感染経路は、アダルトサイト閲覧時に「登録ユーザー用接続プログラム」などとして配布されている騙しプログラムをダウンロードし、ユーザーが手動で導入するよう促す手口だ。現在のワンクリウェアとある部分で通じるものがありますね。
また「脆弱性が残る古いバージョンのIneternet Explorerにて閲覧しただけで、ダイヤラーに感染した」などの事例も多数報告されていた。自分もいずこかの危険サイトをテストしたところ、複数のマルウェアと一緒にダイヤラーが導入された経験が幾度かあるのだ。
エンドユーザーができる対策はそれほど多くはなかったのだが、ダイヤラー被害に関してはかなり独自・かつユニークな手法 - つまり「元から絶ってしまう」方法が推奨された。
1）接続先の変更を監視・通知するツールの導入
2）KDDIへ国際電話接続を事前に断る手続きを行う
3）NTTへダイヤルQ2への接続を事前に断る手続きを行う
被害額の相場は大体、1件当り数万から数十万円程度だったろうか。
ダイヤルQ2の場合はNTTとの交渉で半額になったとか支払い免除となったなどのレポートがあった。しかし国際電話は国間の約定か何かのために支払わなければならなかったはず。
かつてはあちらこちらの質問掲示板にて毎日のように見かけた強制架電問題は、ダイヤルアップ接続ユーザーの減少とブロードバンドルーターの普及が進んだ頃を境に急速に減少した。
（ISDNのTA利用でネットに接続していた場合でも被害に遭遇したとの事例があったようだが、古い話なのでメモが無い）
ネットに接続する形態がナローバンドよりADSLなどのブロードバンドサービスへシフトした変化のみが、ダイヤラー被害を減少させた理由ではない。
NTTは2002年1月23日より、ダイヤルQ2にて3分間当り300円を徴収していたサービスにパスワードを導入させた（ダイヤルQ2が変わりました（NTT東日本））。
NTTの対策によりダイヤルQ2へ接続させるタイプのダイヤラーは事実上、壊滅したのだ。
国際電話に接続させられる被害は特定の国（特にセイシェル諸島）へ接続させる事例が突出していたために、多くの電話会社は2002年12月より一部の国への国際電話取次ぎを停止するという大ナタを振るった。
知らない間にインターネットを通して利用していた国際電話（国民生活センター）
すっかり絶滅したかと思われたダイヤラーは、今でも時折遭遇し大変驚かされる。
所謂危険サイトにてテスト目的のため「何か」に感染させた後、ダイヤルアップモデムが内蔵されていないパソコンであるためか「No Modem」などのポップアップ表示が出る場合が、稀にはあるのだ。
英語のDialerをそのまま読めば、ダイアラーである。しかしながら何故か日本国内では、一般的には「ダイヤラー」と呼称する。
何故だろうか？
人力検索はてなにて質問したものの、どうもこれだと言う回答も無い。
外来語の表記は日本工業規格のJIS Z 8301（規格票の様式及び作成方法）に定められていたのだが、現在では外来語の表記 内閣告示第二号が元となるようだ。
（コンピューターではなくコンピュータ、などの例が有名である）
（Wikipedia‐ノート:外来語表記法）
外来語の表記 内閣告示第二号の留意事項その2（細則的な事項）にて、�掘』�（はつ）音，促音，長音その他に関するものをちらっと見てみよう。
上記資料によると、Dialをダイヤルとする呼称は慣用的にこれまで用いられていたものであり、ダイアルではなくダイヤルと書くべきである、らしい。
Dialの末尾にerをつけたDialerは、長音符合をつける事となる。
であれば、Dialerはダイヤラーと呼称するべきなのだろうか？
人力検索はてなによると、インターネット不正接続と電話料請求に関する判例集を紹介されたが、これはNTTなどの訴訟を紹介してはいるものの、所謂「悪質業者やアダルトサイト運営者」ではない。
「悪質業者やアダルトサイト運営者」が逮捕されたとの話は、聞いた記憶が無い。
もしもご存知であれば、後学のために事例を紹介していただきたい。
マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
ダイヤラー - 悪質な詐欺の衰勢
ダイヤラーによる接続先電話番号改変は、日本国内では強制架電と呼ばれた。
主な感染経路は、アダルトサイト閲覧時に「登録ユーザー用接続プログラム」などとして配布されている騙しプログラムをダウンロードし、ユーザーが手動で導入するよう促す手口だ。現在のワンクリウェアとある部分で通じるものがありますね。
また「脆弱性が残る古いバージョンのIneternet Explorerにて閲覧しただけで、ダイヤラーに感染した」などの事例も多数報告されていた。自分もいずこかの危険サイトをテストしたところ、複数のマルウェアと一緒にダイヤラーが導入された経験が幾度かあるのだ。
エンドユーザーができる対策はそれほど多くはなかったのだが、ダイヤラー被害に関してはかなり独自・かつユニークな手法 - つまり「元から絶ってしまう」方法が推奨された。
1）接続先の変更を監視・通知するツールの導入
2）KDDIへ国際電話接続を事前に断る手続きを行う
3）NTTへダイヤルQ2への接続を事前に断る手続きを行う
被害額の相場は大体、1件当り数万から数十万円程度だったろうか。
ダイヤルQ2の場合はNTTとの交渉で半額になったとか支払い免除となったなどのレポートがあった。しかし国際電話は国間の約定か何かのために支払わなければならなかったはず。
かつてはあちらこちらの質問掲示板にて毎日のように見かけた強制架電問題は、ダイヤルアップ接続ユーザーの減少とブロードバンドルーターの普及が進んだ頃を境に急速に減少した。
（ISDNのTA利用でネットに接続していた場合でも被害に遭遇したとの事例があったようだが、古い話なのでメモが無い）
電話会社による対応がダイヤラーを絶滅寸前に追い込んだ - 遅すぎた対策
ネットに接続する形態がナローバンドよりADSLなどのブロードバンドサービスへシフトした変化のみが、ダイヤラー被害を減少させた理由ではない。
NTTは2002年1月23日より、ダイヤルQ2にて3分間当り300円を徴収していたサービスにパスワードを導入させた（ダイヤルQ2が変わりました（NTT東日本））。
NTTの対策によりダイヤルQ2へ接続させるタイプのダイヤラーは事実上、壊滅したのだ。
国際電話に接続させられる被害は特定の国（特にセイシェル諸島）へ接続させる事例が突出していたために、多くの電話会社は2002年12月より一部の国への国際電話取次ぎを停止するという大ナタを振るった。
知らない間にインターネットを通して利用していた国際電話（国民生活センター）
すっかり絶滅したかと思われたダイヤラーは、今でも時折遭遇し大変驚かされる。
所謂危険サイトにてテスト目的のため「何か」に感染させた後、ダイヤルアップモデムが内蔵されていないパソコンであるためか「No Modem」などのポップアップ表示が出る場合が、稀にはあるのだ。
ダイアラーを何故にダイヤラーと表記するのか？
英語のDialerをそのまま読めば、ダイアラーである。しかしながら何故か日本国内では、一般的には「ダイヤラー」と呼称する。
何故だろうか？
人力検索はてなにて質問したものの、どうもこれだと言う回答も無い。
外来語の表記は日本工業規格のJIS Z 8301（規格票の様式及び作成方法）に定められていたのだが、現在では外来語の表記 内閣告示第二号が元となるようだ。
（コンピューターではなくコンピュータ、などの例が有名である）
（Wikipedia‐ノート:外来語表記法）
外来語の表記 内閣告示第二号の留意事項その2（細則的な事項）にて、�掘』�（はつ）音，促音，長音その他に関するものをちらっと見てみよう。
3 長音は,原則として長音符号｢ー｣を用いて書く。
注3 英語の語末の‐ｅｒ,‐ｏｒ,‐ａｒなどに当たるものは,原則としてア列の長音とし長音符号「ー」を用いて書き表す。ただし,慣用に応じて「ー」を省くことができる。
〔例〕 エレベーター ギター コンピューター マフラー
エレベータ コンピュータ スリッパ
4 イ列・エ列の音の次のアの音に当たるものは,原則として「ア」と書く。
〔例〕 グラビア ピアノ フェアプレー アジア（地） イタリア（地） ミネアポリス（地）
注1 「ヤ」と書く慣用のある場合は,それによる。
〔例〕 タイヤ ダイヤモンド ダイヤル ベニヤ板
�掘』�（はつ）音，促音，長音その他に関するもの（文化庁）
上記資料によると、Dialをダイヤルとする呼称は慣用的にこれまで用いられていたものであり、ダイアルではなくダイヤルと書くべきである、らしい。
Dialの末尾にerをつけたDialerは、長音符合をつける事となる。
であれば、Dialerはダイヤラーと呼称するべきなのだろうか？
今でもわからない、不思議な話 - 何故に警察や司法は放置したのか？
人力検索はてなによると、インターネット不正接続と電話料請求に関する判例集を紹介されたが、これはNTTなどの訴訟を紹介してはいるものの、所謂「悪質業者やアダルトサイト運営者」ではない。
「悪質業者やアダルトサイト運営者」が逮捕されたとの話は、聞いた記憶が無い。
もしもご存知であれば、後学のために事例を紹介していただきたい。
関連記事
マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
Posted by Luca at 01:13
│
│
2006年11月07日 - 感染後にアンチウイルスソフトをダウンロード販売で購入してはならない - マルウェア対策の極論
店頭販売とネット販売に伴うリスクなり扱いは同列ではない。またマルウェア感染時にはより慎重な姿勢が求められる。騙されていかがわしいソフトウェアを購入するのも難儀だし、まともな企業の製品を購入するにしてもリスクが伴うのだ。
詐欺的な対策ソフトウェアへの心構えと、まともな製品を導入する際の注意について、簡単にまとめてみました。
Sempliceにてはセキュリティ対策ソフトウェアとしてはあまりにも不審なもの - 機能面であまりにもダメダメであったり感染してもいないのに存在しない脅威をちらつかせるもの（Bogus ware・Rogue ware）、何かに感染していると表示する騙しサイトにより消費者を脅迫して購入を強要するランサムウェアについて、これまで何度か掲載した（多くはBogus ware・Rogue wareでありかつランサムウェアである）。
Bogus, Rogue ware, Fake Spyware Removal Tools and Likely カテゴリ（Semplice）
ずきんさんの所で偽セキュリティソフトに騙されないために最も確実な対策方法は、店頭でパッケージソフトウェアを購入するのが最善とコメントを投稿した。
極論・場合によっては暴論と受け止められるやもしれない。だがあながち間違いではないのだ。
（思いついた事をダーッと書くと毎度の事ながら数十行になり、さすがに迷惑だろうと遠慮し、自分のブログにて）
幾つかの事例ではいかがわしいメーカーサイトを開けば、まるで店頭販売されているようなパッケージを装った画像が表示されるのは、Semplice読者ならば既知だろう。
まるで店頭に並ぶパッケージっぽい画像を掲載し、消費者を油断させているのだよ、悪質な詐欺業者は。
これでは多くのエンドユーザーが騙されるのも、無理は無いだろ。
多くの詐欺的な・リスキーなマルウェア対策ソフトウェアは、そのソフトウェア製造元のドメインサイトのみに限らず、幾つかの（不審ではない）ダウンロードサイトや、まともなリセラーを装ったサイトにて販売されている。
再販業者に悪意があるのか否かを判別しづらいが、日本国内でも幾つかの不審なソフトウェアを堂々と販売している「表企業」も存在する。
この場で名指しで注意を促するのはあまりにもチャレンジングであるため、避けさせていただきますが。
暫く前、知人より「パソコンが何かに感染した、助けてくれ！」と依頼された。
電話にてヒアリングし、ウイルス対策ソフトウェアなどを導入していないと知ったため、このように伝えた。
「じゃあまずは、ウイルス対策ソフトを購入しインストールしておいて」、と。
。。。。。。どうなったかって？
知人の家に行き、パソコンの電源を起動すると、詐欺的・インチキと自分が何度か掲載しているとあるウイルス対策ソフトがいきなりスキャンを開始したのだよ。
その時に自分がどんな気持ちだったのか、察してもらいたい。
3年ほど前より、ブラウザハイジャッカー系マルウェアやアドウェアに「意図せず感染」した事例・特にブラウザの脆弱性を突くような場合では、一時に複数のマルウェアが強制的に導入される事例が増えてきたのだが。
感染中のWindows OSでは「何かに感染しているぞ！」などの虚偽のポップアップ表示が出たり、不審な対策ソフトウェアを紹介するサイトに強制的にリダイレクトされるのは、今時ではよくある話なのだ。
何故にこんなのをインストールしたのだとのLucaさんの問いに、「ウイルス対策ソフトを導入しろと言われたからインストールしたんだけど。。。。。Windowsが表示した警告だと思ったし」と、彼は力なく答えたのだ。
（Windows OSそのものが警告を表示したかのように装う悪質なアドウェアも複数存在するものだ）
電気屋さんとかパソコンショップの店頭には、パッケージ製品のアンチウイルスソフトやアンチスパイウェアソフトが幾つか並んでいるだろう。
「店頭にて扱われる製品でも、いかがわしい・ユーザーに多くの不具合をもたらした製品はあるだろう！」だって？
。。。。。まぁ、確かにそうですね。それはわかっているよ、うん。
ですが「何も信じるな」と書く訳にもいかないだろう。
「店頭に並んでいるセキュリティ対策製品が全て信頼できるだけの機能があり、盲目的に信頼しても良い」とは言わない。
だからこのように言い換える。
「詐欺的製品の多くは実際には店頭販売されないし、購入可能な手段はネット経由のみである」
ネットよりソフトウェアを購入しなければ、詐欺的製品に騙されたりはしないだろう、多分。
自分はこれまで、幾つかの詐欺的な裏企業の製品や、裏企業ではないものの多くの問題を抱える製品を紹介した。
であるものの「何を信頼すべきか」と言われたらば、大変難しい。
十分な経験が備わっていないならば、シマンテック（Symantec）社のNorton Internet SecurityやNorton AntiVirus、トレンドマイクロ（TrendMicro）社のウイルスバスター、マカフィー（McAFEE）社のウイルススキャンプラスかインタ^ネットセキュリティスイートを薦める。
もちろんそれぞれの製品には一長一短はあるし、得意分野と不得意な分野があるのは承知している。
これら3つのメーカーを薦めるのは、以下の理由である。
1）検出対象となったマルウェアなどの技術情報が充実している
2）「それほど」トラブルが無い
3）最も重要な点なのだが。Googleなどにより検索した際に多くの日本語で記載された情報を得られるからだ、メーカーサイト以外の場にて
4）ネット上の質問掲示板などに相談を持ち込んだ場合であっても、最も著名な製品群であるために適切な回答を得られやすい
個別のアンチウイルスソフトウェアについてのレポートや評価については、日本国内ではPalm84以上のものは無いだろう。
製品の選別と購入に当っては是非とも参考にしてもらいたい。
特殊な例として、アダルトサイト閲覧時に騙されて踏んだ実行形式ファイルよりワンクリウェアを導入され料金を請求された場合などには、NOD32が最も優れているとのレポートがabcdefのワンクリウェア試験記録にて紹介されている。
（関連情報：ワンクリック詐欺、ワンクリウェアなるもの（Semplice）））
もちろん君が大抵の問題を自身の力で解決できるならば、自らが信頼する製品を購入してくれ。
スパイウェア対策のために店頭で販売されている製品を購入するよう推奨するのは、大変な歯痒さを感じるのだ。
前述した3製品は2004年前後よりスパイウェアとして扱われる幾つかのマルウェアにある程度は対策したものの、100%ではないのは承知している。
では100%確実な製品は何かと聞かれたらば、「そんなものは無い」としか答えようがない。
Ad-awareとSpyBot S&Dを100としたらば、上記3製品は70-90程度だろうか。
そもそも何をスパイウェアと呼ぶのかが、ネット上では十分な周知と理解を得られていない現状であるため、自分としては何とも言いづらい。
スパイウェアの対策としてのセキュリティ対策製品は、まだまだ発展途上の段階であるし、あまりにも新規なものが出現してメーカー各社が追いついていないのが現状である。
一応断りを入れておくが、一部のメーカーはスパイウェアの語感の悪さを悪用しているような気がする。
これがスパイウェア対策を混沌とさせている理由の一つだ。
1）トレンドマイクロ広報からスパイウェアの定義について返信が来た（Semplice）
2）CAによるスパイウェア拡大解釈は、広義のスパイウェアではなくペストか？（Semplice）
3）Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問（Semplice）
日本国内では、店頭にてパッケージ製品を購入するよう促す理由として以下の2点がよく説明されるのだが。実際のところ無意味なのだ。
1）万が一パソコンが起動しなくなったりしても、パッケージ製品であればCD-ROMが残るため、保険となる
いや、違う。ダウンロード販売で購入した圧縮ファイルを、CD-Rに焼くとかUSBメモリーキーに保存すれば良いだけの話だ。
そんな理由は説得力が無い。
2）CD-ROM版ならば、CDよりマルウェアをスキャンして駆除・修復できる
何か勘違いされているようですが（誰・どこ宛？）、製品CD-ROMがリリースされた当時以後に対応できなかった新しいマルウェアは、まず検出できませんよ。
ダウンロード販売では店頭で販売されているパッケージよりやや安い、またこれまで日本国内で何度も言われてきた上記2点のベネフィット（利点）では、パッケージ販売の優位性は説明しきれない。
荒削りながら、日頃思う事をダラダラと。
ダウンロード販売で個人情報をいずこかに送信し、圧縮ファイルを入手。
そんな操作は、感染中のシステム以外のパソコンにて行うならば、さほどの問題は無いだろう。
だが多くのホームユーザーは、所有しているパソコンは1台のみと思われるため、無理がある。
（企業ならば数十・数百それ以上のパソコンにインストールできる契約を結んでいる）
マルウェア感染中のシステムより製品を購入したとして、クレジットカードの番号を入力させるのは適切なのか？
。。。。。説明する必要も無いだろう。
クレジットカードの番号を入力しなくても良い手段、例えばどこかのオンライン上のショップより購入するならば？
ショップ利用時に入力が必須なIDとパスワードは、マルウェアに感染中のシステムにては十分に保護されているとは言いづらい。
細かい話としては、代金引換で購入したとしても、十分な確度で個人情報が漏れないとは言い切れないだろう。
では体験版は？一部メーカーは個人情報やメールアドレスの入力を必須としているが、これまた十分な注意が必要だろう。
Sempliceにては何度も何度も繰り返し主張してきた論点なのだが。
セキュリティ対策ソフトウェアの主たる目的は、感染の予防であって、感染後のシステム修復ではない。
（アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版（Semplice））
ユーザー登録の際に個人情報を入力したらば、デスクトップをキャプチャされて入力中の個人情報をいずこかに送信される可能性は否定できない。
Rootkitのように特定のファイルやプロセスを隠蔽するようなマルウェアに感染した場合は、感染後にできる手段は極めて限られるだろう（Rootkit（ルートキット）とWindows（Semplice））
感染したマルウェアが、対策ソフトウェアの動作を妨害するのもよくある話だ。
最近急増しているようだが、感染後にはhostsファイルが書きかえられたりLSPレイヤでジャックされる事例も多い。対策ソフトウェアを感染後にインストールしても、定義ファイル（シグネチャファイル）やエンジンのバージョンアップもままならない場合もあるだろう。
最後となるが、感染後にはパーソナルファイアーウォール製品の稼動状況は信頼できないものとなる可能性が高いため、多くの製品が一まとめにされているスイート製品の信頼性は格段に落ちる。
理想的には、アンチウイルスソフトウェアとパーソナルファイアーウォール製品はそれぞれ別のメーカーより導入するのが望ましい。
自分としては言葉に詰まる。
コストとリスクは負の相関関係にあるとしか言いようが無い。
1）メーカーやダウンロードサイトやオンラインモールよりのダウンロード販売は、店頭でのパッケージ販売以上の利点は多少の安さを除けば、利点が無い。
2）感染中のシステムよりは個人情報やクレジットカードを送信する機会を避けるべきだ
3）ウイルス・スパイウェア対策ソフトは感染を防止するためのものであり、感染後には限界があると心がける
4）対策ソフトウェア購入後には、マルウェアに感染している可能性が存在する場合には、ユーザー登録時や支払い時には細心の注意を払うべき。
5）ウイルス定義ファイル・シグネチャファイル・検索エンジンのバージョンアップのためにネットに接続する目的であったとしても、感染中のシステムをネットに接続するのは相応にリスクを抱える。
6）重要なデータファイルが保存されていたり、何が何でも保護しなければならないようなパソコンであるならば、修復作業はあきらめた方がより安心できるだろう。データファイルをMOやCD-Rに保存し、リカバリー・またはOSを新規インストールする以上に確実な方策は無い。
7）もちろん、どうでもいいものに感染したために必要以上に極度の不安を感じ、いきなりリカバリーするのも乱暴な話だ。何事もバランスが大事である。
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版（Semplice）
詐欺的な対策ソフトウェアへの心構えと、まともな製品を導入する際の注意について、簡単にまとめてみました。
ネット上を賑わすインチキなソフトウェアに騙されないための解決法は、極めて簡単
Sempliceにてはセキュリティ対策ソフトウェアとしてはあまりにも不審なもの - 機能面であまりにもダメダメであったり感染してもいないのに存在しない脅威をちらつかせるもの（Bogus ware・Rogue ware）、何かに感染していると表示する騙しサイトにより消費者を脅迫して購入を強要するランサムウェアについて、これまで何度か掲載した（多くはBogus ware・Rogue wareでありかつランサムウェアである）。
Bogus, Rogue ware, Fake Spyware Removal Tools and Likely カテゴリ（Semplice）
ずきんさんの所で偽セキュリティソフトに騙されないために最も確実な対策方法は、店頭でパッケージソフトウェアを購入するのが最善とコメントを投稿した。
極論・場合によっては暴論と受け止められるやもしれない。だがあながち間違いではないのだ。
（思いついた事をダーッと書くと毎度の事ながら数十行になり、さすがに迷惑だろうと遠慮し、自分のブログにて）
幾つかの事例ではいかがわしいメーカーサイトを開けば、まるで店頭販売されているようなパッケージを装った画像が表示されるのは、Semplice読者ならば既知だろう。
まるで店頭に並ぶパッケージっぽい画像を掲載し、消費者を油断させているのだよ、悪質な詐欺業者は。
これでは多くのエンドユーザーが騙されるのも、無理は無いだろ。
多くの詐欺的な・リスキーなマルウェア対策ソフトウェアは、そのソフトウェア製造元のドメインサイトのみに限らず、幾つかの（不審ではない）ダウンロードサイトや、まともなリセラーを装ったサイトにて販売されている。
再販業者に悪意があるのか否かを判別しづらいが、日本国内でも幾つかの不審なソフトウェアを堂々と販売している「表企業」も存在する。
この場で名指しで注意を促するのはあまりにもチャレンジングであるため、避けさせていただきますが。
ウイルス対策・スパイウェア対策の名目で配布される、不審ソフトウェアの実例
暫く前、知人より「パソコンが何かに感染した、助けてくれ！」と依頼された。
電話にてヒアリングし、ウイルス対策ソフトウェアなどを導入していないと知ったため、このように伝えた。
「じゃあまずは、ウイルス対策ソフトを購入しインストールしておいて」、と。
。。。。。。どうなったかって？
知人の家に行き、パソコンの電源を起動すると、詐欺的・インチキと自分が何度か掲載しているとあるウイルス対策ソフトがいきなりスキャンを開始したのだよ。
その時に自分がどんな気持ちだったのか、察してもらいたい。
3年ほど前より、ブラウザハイジャッカー系マルウェアやアドウェアに「意図せず感染」した事例・特にブラウザの脆弱性を突くような場合では、一時に複数のマルウェアが強制的に導入される事例が増えてきたのだが。
感染中のWindows OSでは「何かに感染しているぞ！」などの虚偽のポップアップ表示が出たり、不審な対策ソフトウェアを紹介するサイトに強制的にリダイレクトされるのは、今時ではよくある話なのだ。
何故にこんなのをインストールしたのだとのLucaさんの問いに、「ウイルス対策ソフトを導入しろと言われたからインストールしたんだけど。。。。。Windowsが表示した警告だと思ったし」と、彼は力なく答えたのだ。
（Windows OSそのものが警告を表示したかのように装う悪質なアドウェアも複数存在するものだ）
店頭販売されている製品には、詐欺製品は無い（いや、少ない）
電気屋さんとかパソコンショップの店頭には、パッケージ製品のアンチウイルスソフトやアンチスパイウェアソフトが幾つか並んでいるだろう。
「店頭にて扱われる製品でも、いかがわしい・ユーザーに多くの不具合をもたらした製品はあるだろう！」だって？
。。。。。まぁ、確かにそうですね。それはわかっているよ、うん。
ですが「何も信じるな」と書く訳にもいかないだろう。
「店頭に並んでいるセキュリティ対策製品が全て信頼できるだけの機能があり、盲目的に信頼しても良い」とは言わない。
だからこのように言い換える。
「詐欺的製品の多くは実際には店頭販売されないし、購入可能な手段はネット経由のみである」
ネットよりソフトウェアを購入しなければ、詐欺的製品に騙されたりはしないだろう、多分。
では、店頭ではどのウイルス対策ソフトを購入すべきなのか？と言われても困るのだ
自分はこれまで、幾つかの詐欺的な裏企業の製品や、裏企業ではないものの多くの問題を抱える製品を紹介した。
であるものの「何を信頼すべきか」と言われたらば、大変難しい。
十分な経験が備わっていないならば、シマンテック（Symantec）社のNorton Internet SecurityやNorton AntiVirus、トレンドマイクロ（TrendMicro）社のウイルスバスター、マカフィー（McAFEE）社のウイルススキャンプラスかインタ^ネットセキュリティスイートを薦める。
もちろんそれぞれの製品には一長一短はあるし、得意分野と不得意な分野があるのは承知している。
これら3つのメーカーを薦めるのは、以下の理由である。
1）検出対象となったマルウェアなどの技術情報が充実している
2）「それほど」トラブルが無い
3）最も重要な点なのだが。Googleなどにより検索した際に多くの日本語で記載された情報を得られるからだ、メーカーサイト以外の場にて
4）ネット上の質問掲示板などに相談を持ち込んだ場合であっても、最も著名な製品群であるために適切な回答を得られやすい
個別のアンチウイルスソフトウェアについてのレポートや評価については、日本国内ではPalm84以上のものは無いだろう。
製品の選別と購入に当っては是非とも参考にしてもらいたい。
特殊な例として、アダルトサイト閲覧時に騙されて踏んだ実行形式ファイルよりワンクリウェアを導入され料金を請求された場合などには、NOD32が最も優れているとのレポートがabcdefのワンクリウェア試験記録にて紹介されている。
（関連情報：ワンクリック詐欺、ワンクリウェアなるもの（Semplice）））
もちろん君が大抵の問題を自身の力で解決できるならば、自らが信頼する製品を購入してくれ。
店頭で購入できる、納得のスパイウェア対策ソフトウェアって
スパイウェア対策のために店頭で販売されている製品を購入するよう推奨するのは、大変な歯痒さを感じるのだ。
前述した3製品は2004年前後よりスパイウェアとして扱われる幾つかのマルウェアにある程度は対策したものの、100%ではないのは承知している。
では100%確実な製品は何かと聞かれたらば、「そんなものは無い」としか答えようがない。
Ad-awareとSpyBot S&Dを100としたらば、上記3製品は70-90程度だろうか。
そもそも何をスパイウェアと呼ぶのかが、ネット上では十分な周知と理解を得られていない現状であるため、自分としては何とも言いづらい。
スパイウェアの対策としてのセキュリティ対策製品は、まだまだ発展途上の段階であるし、あまりにも新規なものが出現してメーカー各社が追いついていないのが現状である。
一応断りを入れておくが、一部のメーカーはスパイウェアの語感の悪さを悪用しているような気がする。
これがスパイウェア対策を混沌とさせている理由の一つだ。
1）トレンドマイクロ広報からスパイウェアの定義について返信が来た（Semplice）
2）CAによるスパイウェア拡大解釈は、広義のスパイウェアではなくペストか？（Semplice）
3）Tracking cookieはスパイウェアではない - スパイウェア対策ソフトメーカーの姿勢への疑問（Semplice）
パッケージ製品購入とダウンロード販売の利点と不具合
パッケージ版を薦めるに当っての、論拠が無い風説
日本国内では、店頭にてパッケージ製品を購入するよう促す理由として以下の2点がよく説明されるのだが。実際のところ無意味なのだ。
1）万が一パソコンが起動しなくなったりしても、パッケージ製品であればCD-ROMが残るため、保険となる
いや、違う。ダウンロード販売で購入した圧縮ファイルを、CD-Rに焼くとかUSBメモリーキーに保存すれば良いだけの話だ。
そんな理由は説得力が無い。
2）CD-ROM版ならば、CDよりマルウェアをスキャンして駆除・修復できる
何か勘違いされているようですが（誰・どこ宛？）、製品CD-ROMがリリースされた当時以後に対応できなかった新しいマルウェアは、まず検出できませんよ。
マルウェア感染中のパソコンにて、ダウンロード販売を推奨しない理由
ダウンロード販売では店頭で販売されているパッケージよりやや安い、またこれまで日本国内で何度も言われてきた上記2点のベネフィット（利点）では、パッケージ販売の優位性は説明しきれない。
荒削りながら、日頃思う事をダラダラと。
ダウンロード販売で個人情報をいずこかに送信し、圧縮ファイルを入手。
そんな操作は、感染中のシステム以外のパソコンにて行うならば、さほどの問題は無いだろう。
だが多くのホームユーザーは、所有しているパソコンは1台のみと思われるため、無理がある。
（企業ならば数十・数百それ以上のパソコンにインストールできる契約を結んでいる）
マルウェア感染中のシステムより製品を購入したとして、クレジットカードの番号を入力させるのは適切なのか？
。。。。。説明する必要も無いだろう。
クレジットカードの番号を入力しなくても良い手段、例えばどこかのオンライン上のショップより購入するならば？
ショップ利用時に入力が必須なIDとパスワードは、マルウェアに感染中のシステムにては十分に保護されているとは言いづらい。
細かい話としては、代金引換で購入したとしても、十分な確度で個人情報が漏れないとは言い切れないだろう。
では体験版は？一部メーカーは個人情報やメールアドレスの入力を必須としているが、これまた十分な注意が必要だろう。
店頭でパッケージ版を購入しても、多くの問題は伴う
Sempliceにては何度も何度も繰り返し主張してきた論点なのだが。
セキュリティ対策ソフトウェアの主たる目的は、感染の予防であって、感染後のシステム修復ではない。
（アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版（Semplice））
ユーザー登録の際に個人情報を入力したらば、デスクトップをキャプチャされて入力中の個人情報をいずこかに送信される可能性は否定できない。
Rootkitのように特定のファイルやプロセスを隠蔽するようなマルウェアに感染した場合は、感染後にできる手段は極めて限られるだろう（Rootkit（ルートキット）とWindows（Semplice））
感染したマルウェアが、対策ソフトウェアの動作を妨害するのもよくある話だ。
最近急増しているようだが、感染後にはhostsファイルが書きかえられたりLSPレイヤでジャックされる事例も多い。対策ソフトウェアを感染後にインストールしても、定義ファイル（シグネチャファイル）やエンジンのバージョンアップもままならない場合もあるだろう。
最後となるが、感染後にはパーソナルファイアーウォール製品の稼動状況は信頼できないものとなる可能性が高いため、多くの製品が一まとめにされているスイート製品の信頼性は格段に落ちる。
理想的には、アンチウイルスソフトウェアとパーソナルファイアーウォール製品はそれぞれ別のメーカーより導入するのが望ましい。
では結局、どうすれば良いのだ？
自分としては言葉に詰まる。
コストとリスクは負の相関関係にあるとしか言いようが無い。
1）メーカーやダウンロードサイトやオンラインモールよりのダウンロード販売は、店頭でのパッケージ販売以上の利点は多少の安さを除けば、利点が無い。
2）感染中のシステムよりは個人情報やクレジットカードを送信する機会を避けるべきだ
3）ウイルス・スパイウェア対策ソフトは感染を防止するためのものであり、感染後には限界があると心がける
4）対策ソフトウェア購入後には、マルウェアに感染している可能性が存在する場合には、ユーザー登録時や支払い時には細心の注意を払うべき。
5）ウイルス定義ファイル・シグネチャファイル・検索エンジンのバージョンアップのためにネットに接続する目的であったとしても、感染中のシステムをネットに接続するのは相応にリスクを抱える。
6）重要なデータファイルが保存されていたり、何が何でも保護しなければならないようなパソコンであるならば、修復作業はあきらめた方がより安心できるだろう。データファイルをMOやCD-Rに保存し、リカバリー・またはOSを新規インストールする以上に確実な方策は無い。
7）もちろん、どうでもいいものに感染したために必要以上に極度の不安を感じ、いきなりリカバリーするのも乱暴な話だ。何事もバランスが大事である。
関連記事
アンチウイルスソフトをウイルス・スパイウェア感染後に導入、そして体験版（Semplice）
Posted by Luca at 22:33
│
│
2006年11月03日 - Claria社（旧称Gator）の展望 - GAINの切り捨てはスパイウェアから「合法的ビジネス」へのシフトか
Claria社は2003年10月より社名をGatorより改め、GAINなるアドウェア（スパイウェアか？）群を配布していた企業である。
「していた」と過去形で記載するのは、Claria社は2006年10月より、GAINをバンドルするソフトウェアの配布を停止しているからだ。一例としてPrecision Timeなどなど。
幾つかのGAIN入りソフトウェアはもう既にダウンロードができないものの、どこかのダウンロードサイトではまだ残っているのだろうか。ウェブルート社による検出数レポートではまだまだ上位らしい。
Claria社はかつて大変ユニークな方法で、自身を悪者扱いする対策側メーカーに対し、「改善」を強要した。
そう、つまりは訴訟の場に持ち出し、自社のGAINを検出対象とするなと脅したのだ。
訴訟の結果、PC Pitstopは和解に至った。和解と言っても海外の裁判と日本国内の裁判とは多少ニュアンスが異なる。これはPC Pitstop側の事実上の敗北であり、Gator社製品をスパイウェアなりアドウェアとして検出するのを妨げられたのだ。
さすがに多くの対策側企業側にとっては、ギョッとさせられる事件であったのだろう。
以後一部の対策側企業は「慎重な姿勢」をとるようになり、場合によっては多くのエンドユーザーが拒否感を示すソフトウェアを検出対象より除くなどの過剰反応を示した。
蛇足として。
トレンドマイクロ社とJWord社間のやりとりは実情はよくわからない部分があるのだが。今より2年前の段階ではかなりホットな話題であったものの、今では誰も覚えていない。
（ウイルスバスターによるJWORDのCnsMin.dll誤検出（Semplice））
Symantec社は2005年、「HotBarを検出するための権利」なるものを確認するために、わざわざ訴訟を起こした。
その辺はAnti-Spyware Coalitionとスパイウェアの定義（Semplice）にてダラダラと書いた。
何を勘違いしたのかわからないが、スパイウェア対策側に悪質業者が潜り込んで非難された事例がある。
COAST（Consortium of Anti-Spyware Technology vendors）なるスパイウェア対策の業界団体があったのだが、ここに何故か180solutionsなる悪質企業がメンバーに加わった。言うなれば「地元の防犯協会に暴力団メンバーが加入した」みたいな事例だ。
反発した対策側メーカーらが離反してCOASTは消失した。当�
「していた」と過去形で記載するのは、Claria社は2006年10月より、GAINをバンドルするソフトウェアの配布を停止しているからだ。一例としてPrecision Timeなどなど。
Claria Corporation is no longer supporting GAIN-Supported software.
Claria Corporation, which formerly distributed GAIN software, has shut down the GAIN Network.
This means that Claria stopped sending GAIN pop-up and other advertisements to your computer via the GAIN Network, and no longer collects anonymous information from your computer via the GAIN Network about your Web surfing and computer use.
（以下和訳）
Claria株式会社はもはやGAINをサポート（配布）するソフトウェアをサポートしていない。
以前GAINソフトウェアを配布していたClaria株式会社は、GAINネットワークをシャットダウンした。
これはClariaがGAINネットワークを経由しあなたのコンピュータにGAIN pop-upとそのほかの広告を送るのを停止し、もはやGAINネットワーク経由であなたのコンピュータからWebサーフィンとコンピュータの利用状況の匿名の情報を収集しないと意味する。
Important Information About GAIN and GAIN-Supported Software（GAINとGAINサポートソフトウェアに関する重要なお知らせ（Claria）
幾つかのGAIN入りソフトウェアはもう既にダウンロードができないものの、どこかのダウンロードサイトではまだ残っているのだろうか。ウェブルート社による検出数レポートではまだまだ上位らしい。
アドウェアでは、1位「EasySearchBar」、2位「GAIN」、3位「Locators Toolbar」が先月に続き上位だった。
新たな偽セキュリティソフトの日本語版がランクイン〜ウェブルート（2006年11月1日）（INTERNET Watch）
Gator（現Claria）とスパイウェア対策ソフトウェアの関係
Claria社はかつて大変ユニークな方法で、自身を悪者扱いする対策側メーカーに対し、「改善」を強要した。
そう、つまりは訴訟の場に持ち出し、自社のGAINを検出対象とするなと脅したのだ。
過去には、Claria（旧Gator）がスパイウェア対策ソフトを提供するPC Pitstopを訴えたことがある。Clariaはこの時、PC Pitstopの行為が取引物誹毀（きひ）、虚偽広告、不当な干渉にあたると主張した。Clariaは、主に無料ソフトにバンドルする形で、ポップアップ広告ソフトウェアをユーザーに配布する。
MS、スパイウェア対策法案の修正を要請：「削除ツールの提供者を保護する条項を」（2005年5月25日）（CNET Japan）
訴訟の結果、PC Pitstopは和解に至った。和解と言っても海外の裁判と日本国内の裁判とは多少ニュアンスが異なる。これはPC Pitstop側の事実上の敗北であり、Gator社製品をスパイウェアなりアドウェアとして検出するのを妨げられたのだ。
A Gator executive said the suit, filed in U.S. District Court for the Northern District of California, was part of a larger strategy to educate spyware-removers about the company's software--and to put an end to the practice of calling it "spyware."
If we find anyone publicly calling us spyware, we correct it and take action if necessary, said Scott Eagle, Gator's senior vice president of marketing.
（和訳）
Gatorの経営幹部はカリフォルニア北地区の連邦裁判所に提出された訴訟は、企業のソフトウェアに関してスパイウェア除去ソフト企業を教育し、「スパイウァエ」と呼ばせない試みのための大いなる戦略の一部であったと語った。
「もし我々を公の場でスパイウェアと呼ぶ誰かを見つけたならば、我々は修正し必要であれば行動する」とGatorのマーケティング担当上級副社長は語る。
See you later, anti-Gators?（ZD Net）（2003年10月22日）
訴訟リスクと戦う対策側メーカーと業界団体
さすがに多くの対策側企業側にとっては、ギョッとさせられる事件であったのだろう。
以後一部の対策側企業は「慎重な姿勢」をとるようになり、場合によっては多くのエンドユーザーが拒否感を示すソフトウェアを検出対象より除くなどの過剰反応を示した。
蛇足として。
トレンドマイクロ社とJWord社間のやりとりは実情はよくわからない部分があるのだが。今より2年前の段階ではかなりホットな話題であったものの、今では誰も覚えていない。
（ウイルスバスターによるJWORDのCnsMin.dll誤検出（Semplice））
Symantec社は2005年、「HotBarを検出するための権利」なるものを確認するために、わざわざ訴訟を起こした。
その辺はAnti-Spyware Coalitionとスパイウェアの定義（Semplice）にてダラダラと書いた。
何を勘違いしたのかわからないが、スパイウェア対策側に悪質業者が潜り込んで非難された事例がある。
COAST（Consortium of Anti-Spyware Technology vendors）なるスパイウェア対策の業界団体があったのだが、ここに何故か180solutionsなる悪質企業がメンバーに加わった。言うなれば「地元の防犯協会に暴力団メンバーが加入した」みたいな事例だ。
反発した対策側メーカーらが離反してCOASTは消失した。当�