コンピューターウイルス

悪意あるコードが宿主ファイルへ入り、そのファイルが実行されると別の宿主へ感染する宿主、起動契機、複製、ペイロードを分ける

感染とペイロードは別の働き

1. Entry添付、ダウンロード、共有メディア、侵害された配布物などから感染済み宿主が入る。
2. Activation利用者やOSが宿主ファイル・マクロ・起動コードを実行し、ウイルスコードも動き始める。
3. Replication同じ端末や共有場所にある別の宿主へ自身の複製を組み込む。
4. Payloadデータ破壊、情報窃取、別マルウェア導入など、感染以外の目的を実行する。
5. Propagation感染した宿主がメール、共有フォルダー、USBなどで別端末へ運ばれる。

ウイルスは単独では活動できない

NISTの定義では、ウイルスは他のプログラムの一部となる複製を挿入し、ホストプログラムが実行されて初めて活動します。独立したプログラムとしてネットワークへ自動複製するワームとの中心的な違いです。

ただし現実の攻撃は複数機能を組み合わせます。ファイル感染機能を持ちながらネットワークへ自律拡散するblendedマルウェアもあるため、製品の検知名だけで境界を断定しません。

感染対象により動きが変わる

ファイルinfectorは実行ファイルなどへコードを加えます。マクロウイルスは文書のマクロ機能を利用し、文書を開いてマクロが許可されたときに活動します。boot-sectorウイルスは起動処理に関わる領域へ感染します。

感染対象が違えば、起動契機、必要権限、検査場所、復旧方法も違います。拡張子だけを見ず、実際のファイル形式、署名、マクロ、起動設定を確認します。

「開いただけ」の意味を正確にする

単にメール一覧へ表示したのか、プレビューしたのか、添付を保存したのか、開いてマクロを許可したのかで実行範囲が異なります。脆弱性があればプレビューだけでコード実行される場合もあるため、日時と操作、製品バージョンを記録します。

疑わしいファイルを確認目的で再度開きません。ハッシュと検知名、取得元、隔離先をセキュリティ担当へ渡します。

検知名はウイルスそのものの正式名とは限らない

セキュリティ製品の表示には、系列、挙動、heuristic、感染対象、検出エンジン独自の記号が混ざります。別製品が同じ検体を違う名前で呼ぶ場合があります。

検知名、ファイルパス、ハッシュ、署名者、作成・変更時刻、親処理を揃え、同じホスト内の別ファイルと他端末へ範囲を広げます。

隔離と削除は目的が違う

quarantine（クオランティン、隔離）は、検体を実行・参照されにくい管理領域へ移し、調査や復元判断を可能にします。削除はファイルを取り除きますが、感染前の正常ファイルを自動で戻すとは限りません。

ウイルスコードだけを除くdisinfectionが可能な場合もありますが、元ファイルが改変・破損していれば、信頼できるバックアップや正規インストーラーから置き換える方が確実です。

同じ感染源を閉じる

端末を清浄化しても、共有フォルダー、USB、メールボックス、ソフトウェア配布元に感染宿主が残れば再感染します。書込可能な共有、autorun、マクロ方針、古いアプリケーションの脆弱性を調べます。

OSとアプリケーションを更新し、一般作業を標準利用者で行い、実行ファイル・マクロの許可リスト、メールゲートウェイ、エンドポイント保護を組み合わせます。

復旧後に正常性を確認する

重要システムでは、感染時点、変更されたファイル、実行されたアカウント、外部通信、資格情報窃取の有無を調査します。確信できなければ信頼済み画像から再構築し、パスワードとトークンを安全な端末から変更します。

ウイルス対応では、見つかった一ファイルだけでなく、感染した宿主がどこから来て、どの宿主へ複製され、何が実行されたかを追います。

virusの定義とmalware対応の確認資料：NIST CSRC Glossary「Virus」、NIST SP 800-83 Rev. 1「Guide to Malware Incident Prevention and Handling for Desktops and Laptops」