Semplice - 「マルウエア」総まとめによる解説の誤解

　マルウェア（Malware：悪質なプログラムの総称）についての簡単な定義と解説をマルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）（Semplice）にて記載した経緯は、そもそもはトレンドマイクロ社とのやりとりを自分向けに整理する目的であったのだが。これらの区分・定義付けは、ウイルス（Virus）・スパイウェア（Spyware）・アドウェア（Adware）などへの対策にて適切な判断を下し対応策を練るために、またブログ中に用いられるキーワードを解説するために有用であった。

　マルウェアだって？と始めて目にした方は大変戸惑ったのではないだろうか。いずこかのブログや記事を読み解く際に、用語の意味や解釈には頭を悩ませられるものだ。
　様々な用語の扱いを対策側団体がとりまとめた事例としてASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義（Semplice）を以前紹介したが、この定義に従うサイトやメーカーは急激に増加している。
　「マルウェア」。これはどこから生まれ、そしてどこへ行くのだろう。

マルウェア解説の微妙な記事

　今週のSecurity Check（第166回） 「マルウエア」総まとめ〜その特徴と分類方法〜（IT Pro）なる記事があるのだが、どうもこれが納得がいかない。高橋 正和氏（インターネットセキュリティシステムズ社・最高技術責任者，エグゼクティブ セキュリティ アナリスト）による解説記事だ。
　なお予め断りを入れておくが、このITPro中の記事にては狭義・広義のスパイウェアなどは全く考慮していない。記事中のスパイウェアは「広義のスパイウェア（つまりある意味で何でもアリ）」ではなく「狭義のスパイウェア」である。ASCの解説を読んでいないのだろうか。
　（今時のセキュリティ対策サイトやアンチウイルスソフトメーカーは、ASCの定義をかなり意識しており、これを激しく逸脱するようなサイトはそれほど多くは無い）

ウイルス：記憶媒体やメールを介して自己感染を繰り返すプログラム
ネットワーク・ワーム（ワーム）：ネットワーク経由で自己増殖するプログラム
受動的攻撃：受動的攻撃[注1]によって攻撃を仕掛ける，あるいは感染するプログラム
トロイの木馬：有用なプログラムなどを装って侵入するプログラム
バックドア：PCを外部から操作できるようにするプログラム
スパイウエア：PCの情報を盗み取るプログラム[注2]
アドウエア：広告などを勝手に表示するプログラム
フラッダ(Flooder)：DoS/DDoS攻撃を行うためのプログラム
ドロッパ(Dropper)：他のマルウエアをダウンロードするプログラム
注1　「『受動的攻撃』に気をつけろ〜その実態と対策〜」
注2　ユーザーのキー入力などを記録して盗む「キーロガー」は，スパイウエアに分類される。
　今週のSecurity Check（第166回） 「マルウエア」総まとめ〜その特徴と分類方法〜（IT Pro）

　バックドア、これは単体のソフトウェアとしての解釈か？
　このままだとWindowsに搭載されているリモートアシスタンスやSymantec社のpcAnywhereまで悪質なマルウェアとして含まれてしまうではないか！
　商業的な・かつネットワーク管理者が業務の上で利用するようなソフトウェアで悪意のある誰かにより導入されたのでなければ、普通はバックドアとは呼称しないだろう。ASCはこれらを明瞭に区分している。
　（マルウェアによって導入された「表ツール」のリモートアクセスソフトを、アンチウイルスソフトメーカーが駆除対象としない理由は、そのような背景による）

　アドウェア（Adware）は「広告などを表示するプログラム」であるが、「広告などを勝手に表示するプログラム」ではない。多くのアンチウイルスソフトメーカーやセキュリティ対策サイトが言及しているように、アドウェアは無料ソフトの代償としてユーザーの理解を得た上で導入されたり、また不法行為を伴わないものも多数あるからだ。
　無断・騙し・長すぎな仕様許諾説明書・アンインストールの方法を提供しないNuisance or Harmful Adware（厄介で有害なアドウェア）と、十分な説明の上でユーザーの許諾を十分に受けて導入され・またアンインストールが容易なアドウェアは、混同すべきではない。
　蛇足になるのだが。信頼できるアドウェアの認定プログラム発足（ITmedia）にて紹介されている「Trusted Download Program」のような試みもあるものの、「認定に乗ずるアドウェア企業が現れる」--TRUSTeの新制度に一部から批判の声（CNET Japan）の末尾にて紹介されたように、悪質な企業が何らかの形で安全であるとの認定を受けようとする事例が多数報告されている点には注意を払わなければならない。

　またドロッパーは、「他のマルウエアをダウンロードするプログラム」ではない。
　ドロッパーはそれ自身が他のプログラムを内包し・また新規に作成させる機能を持つプログラムである。つまりネットワークに接続していなくても、新規に別の何かを作成するのだ。
　ITPro記事中における「ドロッパ（Dropper）」の説明は、「ダウンローダー（Downloader）」の機能である。
　ダウンローダーはネットワークを介して新たなプログラムをダウンロード・導入させるマルウェアである。
　一例として不審なアンチスパイウェアソフトと、ZlobとCodec（コーデック）の関係（Semplice）にても触れたのだが、eCodecはドロッパーでZlobを作成し、Zlobはダウンローダーであり他のマルウェアをどんどんダウンロードし無断インストールする。

　トロイの木馬については，いずれの意味でも使われる場合がある。（1）「ユーザーをだまして実行させる（ソーシャル・エンジニアリングを使う）」といった感染活動をするマルウエアを指す場合と，（2）「ユーザーが意図しない動作（活動）をする」マルウエアを指す場合である。いずれの使い方でも誤りではないが，本稿では（1）のようなマルウエアをトロイの木馬と呼ぶ。
　今週のSecurity Check（第166回） 「マルウエア」総まとめ〜その特徴と分類方法〜（IT Pro）

　あながち間違いではないのだが。記事中で「バックドア」として扱われているRATをトロイの木馬として扱う事例が何年も前より複数存在するので、これについての言及が欲しいところだ。
　つまり「ある感染様式」のものをトロイの木馬と呼称する事例と、慣用的に？リモートアクセスツールをトロイの木馬として扱う事例があるのだな。

　スピア・フィッシングは，まだあまり一般的ではないが，「特定の組織や個人を狙った，トロイの木馬を含んだ電子メールによる攻撃」と定義できる。スピア・フィッシングは2005年6月以降，各国のセキュリティ組織やベンダーが相次いで注意喚起している[注5]。
　今週のSecurity Check（第166回） 「マルウエア」総まとめ〜その特徴と分類方法〜（IT Pro）

　文面そのものは、間違いではないのだが。
　2001年頃には既に、フリーメールのアカウントを取得する目的の手口はあったような。
　「スピア型」との類型が近年のものであるのは確かなのだが、特定個人を狙うスピア型攻撃そのものは、（スピア型との名称が存在しない時期より）割と知られているような。

まとめ画像があまりにも納得できない

　表4　マルウエアの分類、これがあまりにも不適切なのではなかろうか。「動作に対する呼び方」を読んでみる。

　バックドアは前述の理由で不適切な解説である。
　ルートキット（Rootkit）は「バックドアの存在を隠蔽する手法・ツールの総称」ではない。これは特定のファイル・レジストリエントリ・プロセスを隠匿するためのものだ。
　スパイウェアはバックドアの一種ではない（ITProの記事中にてバックドアはリモートアクセスツールとして区分されている）。
　「アドウェア（の一部）」を「スパイウェア的な活動をする。」と記載していたが、「動作に対する呼び方」と明記しているのだからこれは誤りである。これはアドウェアとしての機能ではないからだ。また合法なアドウェアと不法なアドウェアをITProの記事中にて区分していなかった点にて、見直しを迫りたい。
　（あるアドウェアがスパイウェアとして機能するならばだって？「動作に対する呼び方」なのだから「そのような機能」はスパイウェアに内包されるだろう）。
　破壊活動。ディスクの破壊って何ですかね。ハードディスクを超高速回転させるとか？ファイルシステムやパーティションやファイルの破壊と言いたかったのだろうか。
　ドロッパ（Dropper）。これはダウンローダーと混同しているのだろう。

関連記事

　マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）
　ASC（Anti-Spyware Coalitionｍ）のスパイウェア等の定義
　スパイウェア（Spyware）の解説と定義、概論