龍谷大学理工学部における ウイルス感染事例 part 2 小島　肇

背景となる 状況 Story Backgrounds

龍谷大学 標準のアンチウイルスソフトとして、マカフィー製品を導 入 Windows: VirusScan Enterprise (VSE) Mac: VirusScan for Mac

龍谷大学 現在 Ryukoku University Present Time 前回は 1 年前（2009年1月～2月ごろ）の話だったが、今回は最近の話。 Ryukoku University Present Time

ウイルスとの闘いは続いていた from “ALIENS” 画面は映画「エイリアン２」より。背後にエイリアンが潜んでいるのに気がついていない海兵隊員。 from “ALIENS”

周り中反応だらけだ！ from “ALIENS”

周り中反応だらけだ！ (proxy sever’s log) 133.83.a.a - - [03/Dec/2009:19:14:27 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 133.83.a.b - - [03/Dec/2009:14:52:17 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.a.c - - [03/Dec/2009:16:51:28 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.a.c - - [03/Dec/2009:16:52:04 +0900] "GET http://www.googledf2.com/1rb/ar1.rar HTTP/1.0" 200 459 133.83.a.c - - [03/Dec/2009:16:52:06 +0900] "GET http://www.yahoo1xh.com/1rb/ar.rar HTTP/1.0" 401 1325 133.83.a.c - - [03/Dec/2009:16:52:27 +0900] "GET http://mk27w.com/1rb/ar1.rar HTTP/1.0" 200 401 133.83.a.c - - [03/Dec/2009:16:53:07 +0900] "GET http://www.googledf2.com/1rb/ar1.rar HTTP/1.0" 200 401 133.83.a.c - - [03/Dec/2009:16:56:29 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 133.83.d.e - - [03/Dec/2009:11:20:09 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.f.g - - [03/Dec/2009:13:08:36 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.f.h - - [03/Dec/2009:12:17:25 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 133.83.i.j - - [03/Dec/2009:19:57:29 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.k.l - - [03/Dec/2009:10:39:51 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 133.83.m.n - - [03/Dec/2009:16:28:31 +0900] "GET http://www.sinax7l.com/1rb/ar1.rar HTTP/1.0" 200 459 133.83.m.n - - [03/Dec/2009:16:28:32 +0900] "GET http://www.yahoo1xh.com/1rb/ar.rar HTTP/1.0" 401 1325 133.83.m.o - - [03/Dec/2009:16:28:18 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 133.83.a.c - - [03/Dec/2009:16:51:28 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1336 133.83.a.c - - [03/Dec/2009:16:52:04 +0900] "GET http://www.googledf2.com/1rb/ar1.rar HTTP/1.0" 200 459 133.83.a.c - - [03/Dec/2009:16:52:06 +0900] "GET http://www.yahoo1xh.com/1rb/ar.rar HTTP/1.0" 401 1325 133.83.a.c - - [03/Dec/2009:16:52:27 +0900] "GET http://mk27w.com/1rb/ar1.rar HTTP/1.0" 200 401 133.83.a.c - - [03/Dec/2009:16:53:07 +0900] "GET http://www.googledf2.com/1rb/ar1.rar HTTP/1.0" 200 401 133.83.a.c - - [03/Dec/2009:16:56:29 +0900] "GET http://www.yahoo1xh.com/1rb/ar1.rar HTTP/1.0" 401 1327 2009年12月3日の squid の log file の一部を common log file 形式に変換して表示したもの。 133.83.a.c のアクセス先が複数あるのは、実は 133.83.a.c はブロードバンドルーターのアドレスで、その背後に複数の感染したホストが存在したため。

最近のヤラレパターン ウイルス定義ファイルは正常に更新されているけれど、 アンチウイルスソフトウェアは何の役にも立っていない かつては「マルウェアによってウイルス定義ファイルの更新が停止されている」という事例が見られたが、最近はそういう事例はほとんど見ない。しかし、にもかかわらず、マルウェアに感染し続けているのである。ウイルス定義ファイルの対応状況がウイルスに全く間に合っていないのだ。

Artemis を使え、ルーク 画面は映画「スターウォーズ エピソード4」より。 from “STAR WARS Episode IV”

McAfee Artemis Technology クラウドベースのサービス 疑いのあるファイルが確認された場合、Artemis はデー タベースサーバにDNS要求を送信。サーバはそのプロ グラムが悪意のあるファイルか否かを確認し応答 一般消費者向けの製品では「Active Protection」として搭 載 対応製品は https://mysupport.mcafee.com/Eservice/Article.aspx?id=KB53730 を参照。この他、McAfee Network Security Platform 6.0 でも対応する模様: http://enterprise.watch.impress.co.jp/docs/news/20100208_347746.html Active Protection はマカフィー 2008 シリーズ以降で対応している模様: http://journal.mycom.co.jp/news/2008/10/28/032/index.html http://www.mcafee.com/japan/security/gti_artemis.aspより、一部改変して掲載

McAfee Artemis Technology VSE 8.7i patch 2 の「オンアクセス スキャン」のプロパティ設定画面。

Artemis を有効化すると…… 「非常に低」（次回のDATと同等の検出）では発見できな い事例多数 VSE 8.7i patch 2 同梱版でのデフォルト設定 「低」（今後DATに追加予定のファイルの検出）にすると、 とたんに発見できた事例を複数確認 個人的にはこれを推奨中 「中」「高」「非常に高」に設定しても、検出率的にはあまり 変わらないような気が…… 「非常に低」は very low の訳語。変な訳。

Artemis はいつも君と共にある ……ネットにつながっていれば from “STAR WARS Episode IV” 画面は映画「スターウォーズ エピソード4」より。 Artemis は DNS 技術を使用するため、ネットにつながっていないと機能しない。また、外部の DNS 空間を参照できない場合も機能しない。少なくとも avqs.mcafee.com ドメインに対するクエリを扱えるようにする必要がある。詳細については http://www.mcafee.com/japan/pqa/aMcAfeeVse.asp?ancQno=VE08122501&ancProd=McAfeeVse を参照。 from “STAR WARS Episode IV”

質問？