コンピュータウィルス

参考出筆による。

ある日、電子メールの中にこういうメールが混入していた。いつもやりとりしている知り合いからのメールであり、タイトルは「～からの重要なメッセージ」（～に知人の名前が入っている）となっていた。何だろうと本文を読んでみると、「頼まれた文章です。他の人には決して見せないでください。」と書いてあった。Ｗｏｒｄの文書ファイルが添付してある。とりあえずおもむろに開いてみた・・・。数時間後、社内のネットワークはパニックに陥っていた。さっきのメールはウィルスだったのである。とまあ、これは架空のウィルスの話であるが、これを読んでいるあなたはメールの添付ファイルをダブルクリックしないと断言できるであろうか？。この内容は、１９９９年に大きな被害をもたらしたＭｅｌｉｓｓａというコンピュータウィルスとほぼ同じ内容を日本語にしたものである。このメッセージに釣られて、添付ファイルを開いたが為に被害が急速に広がったのである。このようにウィルスは技術面だけではなく、心理的要素の巧みさも増している。それにより、その広がるスピードも速くなり、世界的に同時に同じウィルスが見つかるようになってきた。実際、１９９９年に情報処理推進機構（IPA）に報告されたウィルスの件数は初めて３０００件を超えた。
２０００年に入ってからは３ヶ月で１３６５件と、そのペースはさらに上がっている。年間３０００件というと少ない感じがするが、ウィルスに遭遇した人が全て報告しているとは限らないのである。Ｍｅｌｉｓｓａの場合、北米だけで１００万台の以上のＰＣに感染し、８０００万ドル以上の被害をもたらしている。Ｍｅｌｉｓｓａの被害額に関しては最大３億８５００万ドルという推定金額も出ている。犯人は５年以下の懲役、２５万ドルの罰金が課せられている。
今回の「Ｉ　Ｌｏｖｅ　Ｙｏｕ」メールも同じ事が言えないだろうか。

１．　注意が必要なメール型ウィルス

１９９５年以降、ウィルスの中心はＭＳ　ＷｏｒｄやＥｘｃｅｌなどのマクロの形で潜むマクロウィルスになった。以下参照。

通称	名称	発見時期	特徴
Concept	WM/Concept	1995年8月	初めてのマクロウィルス　Wordで動作
Laroux	XM/Laroux	1996年7月	Excelのマクロウィルス
AccessiV	AM/AccessiV	1998年3月	Accessに感染するマクロウィルス
ﾁｪﾙﾉﾌﾞｲﾘ	W95/CIH	1998年7月	ﾌﾗｯｼｭﾒﾓﾘを書換、HDを破壊する
Happy99	W32/Ska	1999年1月	メール送信時に自身を添付して送る
Melissa	W97/Melissa	1999年3月	Outlookのｱﾄﾞﾚｽ帳から50人に自身を送る
ExpioreZip	W32/ExploreZip	1999年6月	電子メールで感染し、様々なﾌｧｲﾙを消去する
BubbleBoy	VBS/BubbleBoy	1999年11月	Outlookでﾒｰﾙを開いただけで感染するﾏｸﾛｳｨﾙｽ

１９９９年にＩＰＡに届けられたウィルスのうち、約５５％はマクロウィルスである（以下グラフ参照）。

中でもＥｘｃｅｌで動作するマクロウィルスＬａｒｏｕｘは２７％と全体の１／４に相当する。１９９８年にはＬａｒｏｕｘだけで４６％、マクロウィルス全体で７７％もあった。上記のグラフには現れてないものの、１９９９年に凶悪なウィルスとして米国で大きな話題となったＭｅｌｉｓｓａもマクロウィルスであり、主流がマクロウィルスであるという現状は変わらない。マクロウィルスで有るかどうか以上に重要なのは、メールを媒介にして繁殖するウィルスが主流になってきたことである。統計によると、１９９８年にはメールからの感染は４１％だったのが１９９９年には６７％まで上がっている、ただ単にメールの添付ファイルにウィルスが入っているだけではない。１９９９年には、ウィルスそれ自身にメール送信機能があり自律的に広がっていくというものが登場した。前述のＭｅｌｉｓｓａ、Ｈａｐｐｙ９９といったものがその代表例である。本来のウィルスは、ファイルからファイルへ感染するものであるのに対し、これらはファイルを書き換えない。その代わりにＰＣからＰＣへと伝わっていくため、厳密にはウィルスではなく ワーム と呼ぶ。だが、邪悪な振る舞いをする場合があるという点ではウィルスと同じであり、一般的にはワームタイプも含めてウィルスと呼んでいる。ワームタイプのものはこれまでのウィルスと比べものにならないほど広がる速度が速いので、ウィルス対策ソフトの対応が間に合わない可能性も高くなる。したがって、まずウィルスの動きを知り対策を知っておくことはウィルス対策ソフトを導入していても必要なことになる。全く新しいウィルスだけでなく、既存のウィルスの亜種や似た動きをするウィルスも数多く誕生しているからだ。亜種の例では、１９９９年６月に一回はやったＥｘｐｌｏｒｅＺｉｐが１９９９年１１月にまた別の形で流行したり・・・。といったものが有名だがそれだけではない。ウィルスは人間が作り出すものであり、流行廃りと無縁ではない。Ｍｅｌｉｓｓａなど話題になったウィルスをまねるウィルスは必ず登場するのである。

２．　チェルノブイリ

ディスクを破壊する危険なウイルチェルノブイリという物騒な名前でも知られているＷ９５／ＣｌＨ（以下ＣｌＨ）は，マシンをブートできなくすることもあるという，凶悪性の高いウイルスである。１９９８年に最初に発見され，９９年にアジアを中心に大きな被害をもたらした。Ｗｉｎｄｏｗｓのポータブル実行ファイル（ＰｏｒｔａｂｌｅＥｘｅｃｕｔａｂｌｅ：ＰＥ）の形式を取るがＷｉｎｄｏｗｓＮＴ／２０００には感染せず，Ｗｉｎｄｏｗｓ９５／９８だけに感染する。ＰＥの空き領域に感染するウイルスはこれが最初であった。ＣｌＨはＰＥ形式の空き領域に分散して感染する（図３）。感染したプログラムが実行されると、自身のコードをＶＸＤとしてＷｉｎｄｏｗｓに常駐させ、ファイル入出力を監視する。ＰＥ形式のプログラムが実行されたり、コピーされたりするときに、さらに感染していく。ＣＰＵの保護モードで動作するため、感染後の発見が困難である。発病の時期は、ＣｌＨのバリエーションによって４月２６日、６月２６日、毎月２６日に発病するものがある。この日付はチェルノブイリ原子カ発電所の事故のあった日に由来する。発病するとＢｌＯＳのフラッシュメモリの中身を書き換えてしまう。これによってマシンがブート不能になってしまう。またハードディスクの内容も破壊する。ＣｌＨは除去も面倒である。Ｗｉｎｄｏｗｓが起動するときにロードされてしまい、起動後は取り除くことができないからだ。起動時にクリーンアップする仕組みを持つウイルス対策ソフトが必要であり、古いバージョンだと対処できない可能性がある。

３．　Ｈａｐｐｙ９９
（メールを使うウイルスの台頭）

Ｗ３２／Ｓｋａ．Ａ（以下Ｈａｐｐｙ９９）は９９年に急増したメールを使って広がるウイルスの一つである。ディスクを壊すといった実害は少ないものの、ＩＰＡに１９９９年に届けられたウイルスの２７％を占め，ＥｘｃｅｌマクロウイルスのＬａｒｏｕｘと並んで、国内では一番よく見られたウイルスの一つである。Ｈａｐｐｙ９９という通称はメールに添付されてくるウイルスの名前がＨａｐｐｙ９９．ｅｘｅであるから。一方Ｓｋａという名前は、感染するとそのコピーをＳｋａ．ｅｘｅという名前でＷｉｎｄｏｗｓのシステムに置くことから付いている。
Ｈａｐｐｙ９９のプログラムを実行すると画面上には花火が表示される。一見するとそれだけであるが、背後では前述のＳｋａ．ｅｘｅを作るほか、ＷｉｎＳｏｃｋのモジュールであるＷＳＯＣＫ３２．ＤＬＬを置き換えてしまう。置き換えたＷＳＯＣＫ３２．ＤＬＬはユーザのメール送信を監視する。ユーザがインターネットメールを送ると、それを検知して同じ相手に対してＨａｐｐｙ９９．ｅｘｅを添付ファイルとしたメールを送る。メールソフトのログには残らないので送信者は、ウイルスに感染していることには気付かず、Ｈａｐｐｙ９９を受け取った相手からの問い含わせで初めて気付くことになる。Ｈａｐｐｙ９９は、他のプログラムファイルに感染することはせず、メールを使って他のコンピユータに広がって行く。そういう意味で、厳密にはウイルスではなくワームに分類するべきものである。ただ、本来のワームは自力で他のコンピユータに広がって行く機能を持つが、Ｈａｐｐｙ９９はユーザがメールを送った相手だけに広がっていく。そういう点ではワームとしてもちょっと特殊であるといえる。「一見普通のプログラムのように実行できるが、背後でユーザが知らないうちに別の機能を実行している」という「トロイの木馬」に近いともいえる。

４．　Ｍｅｌｉｓｓａ
（Ｏｕｔｌｏｏｋを使って急激に広がる）

Ｗ９７Ｍ／Ｍｅｌｉｓｓａ（以下Ｍｅｌｉｓｓａ）はＷｏｒｄ　９７のマクロ形式を使ったウイルスである。ただ、Ｗｏｒｄのマクロであることよりも０ｕｔｌｏｏｋを使って自身をメールで送りつけるということで有名になった。数多くの企業のメールシステムをパンクさせ、駆除がすむまでメールが麻痺状態になった。感染したＷｏｒｄ　９７の文書を開くと、Ｍｅｌｉｓｓａは「ＨＫＥＹ＿ＣＵＲＲＥＮＴ＿ＵＳＥＲ￥Ｓｏｆｔｗａｒｅ￥Ｗｉｃｒｏｓｏｆｔ￥Ｏｆｆｉｃｅ￥Ｍｅｌｉｓｓａ？」というレジストリエントリを調べる。それが「…ｂｙ　Ｋｗｙｊｉｂｏ」という値になつていれば発病した証拠であり何もしない。値がまだなく発病していない場合は０ｕｔｌｏｏｋを使ってアドレス帳に登録された最初の５０人のユーザにメールを送信する。メールのタイトルは「Ｉｍｐｏｒｔａｎｔ　ＭｅｓｓａｇｅＦｒｏｍユーザ名」、メール本文は「Ｈｅｒｅｉｓｔｈａｔｄｏｃｕｍｅｎｔｙｏｕａｓｋｅｄｆｏｒ…ｄｏｎ’ｔｓｈｏｗａｎｙｏｎｅｅｌｓｅ；-）」となっており、感染したＷｏｒｄの文書を添付して送付する。５０人というと大した数ではないように思うかもしれないが、多くの企業では全員に配布するためのメーリングリストのアドレスとしてａｌｌ＠ドメイン名といったアドレスを使っている。この場合、１通で社内全体にＭｅｌｉｓｓａが広がってしまうことになり、被害を増幅させる。Ｖｉｒｕｓ　ＢｕｌｌｅｔｉｎによるとＭｉｃｒｏｓｏｆｔ社のメール受信用サーパ５台のうち３台が止まってしまい。またある大会社では３時問に約５０万の電子メールが発生してメールサーバが止まってしまったという。また、感染した文書が重要な文書だった場合、それ自体が添付して社外に送られてしまう危険がある。そのため、多くの会社が駆除を確認するまでメールを止めざるを得なくなったのだ。もう一つの副作用として、一定の時間になると開いている文書に、文を挿入するというのがある。

５．　ＥｘｐｌｏｒｅＺｉｐ
（ネットワーク上のファイルを破壊する）

Ｗ３２／ＥｘｐｌｏｒｅＺｉｐ（以下ＥｘｐｌｏｒｅＺｉｐ）は、凶悪性の高いウイルスである。ファイルに感染するのではなく、システムに居座り、ネットワークを介して広がっていくという点で，厳密にはウイルスではなくワームと分類される。ＥｘｐｌｏｒｅＺｉｐは多くの場合、ｚｉｐｐｅｄ＿ｆｉｌｅｓ．ｅｘｅという添付ファイルの形でやってくる。メールの本文には「あなたからメールを受け取りました。すぐ返事をします。それまでＺｉｐして添付した文書を見ておいてください」という旨の英文が書いてある。添付ファイルを実行するとあたかもＺｉｐファィルの自動解凍に失敗したかのようなダイアログボックスが現れるが、そのときにＷｉｎｄｏｗｓのシステムディレクトリにＥｘｐｌｏｒｅ．ｅｘｅという名前で複製を作る。また、ＷｌＮ．ＩＮＩファイルやレジストリを操作して起動時にそれが実行されるようにする。Ｗｉｎｄｏｗｓの起動時にこれが実行されるとＣからＺドライブまでを調べ、．docや．xls、．pptなどの拡張子を持つＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅの文書ファイル、Ｃのソースファイルなどのサイズを０にする。すなわち、元のファイルは消えてしまう。ＥｘｐｌｏｒｅＺｉｐの広がり方には二通りある。一つはＯｕｔｌｏｏｋやＯｕｔｌｏｏｋＥｘｐｒｅｓｓを使い、未読メッセージに対して前述のようなメールを返信する方法。もう一つはディスクを共有している他のマシンのシステムディレクトリに自身のコピーを置き、ＷｌＮ．ＩＮＩを書き換えて起動時に実行させる方法である。後者の場含、感染の自覚がないうちに感染している恐れがある。前者はトロイの木馬的、後者は本来のワーム的な広がり方である。

６．　ＢｕｂｂｌｅＢｏｙ
（メールを開いただけで感染する）

ＶＢＳ／ＢｕｂｂｌｅＢｏｙ（以下ＢｕｂｂｌｅＢｏｙ）は２０００年３月までのところ、メールを開いただけで感染する唯一のウイルスであった。特別実害はなく、感染報告もほとんどない。メールを開いただけで感染するウイルスが可能であることを実証するためだけに作られた実験的ウイルスであると考えられている。ＢｕｂｂｌｅＢｏｙはＯｕｔｌｏｏｋ／Ｏｕｔｌｏｏｋ　ＥｘｐｒｅｓｓのＨＴＭＬメールの機能を使う。ＨＴＭＬ内にＶＢＳｃｒｉｐｔでスクリプトを書き、それがウイルスとして動作する。これを防ぐには設定で、セキュリティゾーンを「制限付き」に変える必要がある（図４）。
これまで，ウイルスのデマ（Ｈｏａｘ）として「メールを開いただけで感染するウイルスが出まわっている」というのがしぱしば広まっている。ＢｕｂｂｌｅＢｏｙは、これが将来事実になる可能性を示している。

７．　Netsky（2004年）

正式名はW32/Netskyで亜種が沢山ある。メールに添付されてくるプログラムを実行することにより感染する。自身にSMTPエンジンを持っており、PC内でゲットしたメールアドレスへウィルス付きメールを送信しまくる。そのときの、Fromヘッダーは偽装されており存在しないメールアドレスか、あるいは知らない第三者のメールアドレスだったりする。メールによる感染のほかに、ネットワーク等の共有フォルダに自分自身をコピーして感染を広げていく野郎である。

８．　Bagle-Q（2004年）

正式名はW32/Bagle-Q。これは、メールに添付されてくるHTMLファイルをオープンするとあるサイトに自動的にアクセスする。そして、そのサイトからウィルスが侵入してくる。自身にSMTPエンジンを持っていて、自分の分身をPC内でゲットしたメールアドレス宛にメールしまくる。ネットワークの共有フォルダからドメイン内の各クライアントPCのシステムに侵入する場合もある。
実際に感染すると「shar」と言う文字列を含むフォルダ名のフォルダ内にウィルス自身のコピーを実行形式（EXE）ファイルで生成してランダムなtcpポートを構わずオープンしてバックドアとして悪い方々へ開放する。このウィルスはIEの脆弱性を突いて感染するようだ。

９．　Mimail-S（2004年）

感染経路とか感染方法とかは、Netskyと同じ。このウィルスの特徴は、クレジットカードの情報を盗むやつらしい。マイクロソフトの嘘認証画面を出したり巧みに人をだます。盗んだクレジットカード情報は、このウィルスが既に持ってるメールアドレス宛へ送信するらしい。非常に手が込んでいるウィルスである。

１０．　予防法及び対処法

いずれにしても、 ウィルスソフトを購入 して自分のＰＣを守ることが第一の予防法である。ワームに関しては、着信メールを良くチェックして、特に添付ファイル付きで、英文タイトルのメールには気をつける。発信者は、相手に好意を寄せるタイトルを英文で記述してくる。そう言うメールは、すぐに” 削除 ”を心がけるのが寛容かと考える。Unixサーバの場合は、VirusGatewayが効果的である。Client側ではもちろんであるが、サーバ側でブロックできれば倍の信頼性が得られるため、たまたまウィルス定義ファイル等のアップデートをし忘れても安心である。

以上

コメント