10月の初め、ESETの一部メンバーはチェコのプラハで行われたAMTSO（Anti-Malware Testing Standards Organization）のワークショップに参加してきました。今回のワークショップはいつにも増して活発な会議となり、とりわけテスト目的でのマルウェア作成についてのホワイトペーパーを巡っては白熱した議論が繰り広げられました。アンチマルウェア業界は、テスト目的でマルウェアを作成することについては一貫して原則反対の立場をとってきましたが、これまでその立場を明確に表明することはありませんでした。このホワイトペーパーはすでにAMTSOのメンバーによって承認されており、近日中にAMTSOのWebサイトで公開される予定です。

ESETのマルウェアインテリジェンス担当ディレクターで、このホワイトペーパーの共同執筆者であるDavid Harleyは次のように述べています。
「アンチマルウェア業界の基本的な立場は、『テスト目的でマルウェアそのものを作成することは、倫理的な観点からも実用上の観点からも正当化されない』というものです。とはいえテスト機関が、アンチマルウェア製品が未知のマルウェアを検出できるかどうか検証したいと考えることも理解できます。このホワイトペーパーは、許容されるプロアクティブなテスト手法についての具体的なガイドラインを示すものではありませんが、プロアクティブなテストの実施方法を適切に判断するための一助にはなるはずです」。

AMTSOのドキュメントは、継続的に精査されることになっています。テスト目的でのマルウェア作成は、まだ明確な結論の出ていない論争中の問題であるため、このホワイトペーパーも、今後の議論の行方に応じて適宜改訂されていくことになるでしょう。このほかには、ネットワークベースの製品のテストに関するホワイトペーパーも承認されています。

ワークショップでは、「AMTSO準拠」の定義を巡っても熱い議論が交わされました。最近では、多くのテスト機関がAMTSOの「Fundamental Principles of Testing」ガイドラインに準拠していると主張するようになっています。しかし実際には、テストの妥当性はAMTSOにテストの分析を依頼しなければ検証することができません。

近々、AMTSOで初となるテスト分析が実施されます。「AMTSO準拠」の厳格な定義はまだ定められていませんが、例えAMTSOのメンバーが実施したテストであっても、その妥当性が自動的に認められるわけではないのは言うまでもありません。

ESIEA Laval（Ecole Superieure d'Informatique, Electronique et Automatique）が主催したFirst International Workshop on Aggressive Alternative Computing and Securityにおいて、研究者のChristopher氏とSamir氏が興味深い調査結果を披露しました。

その調査とは、管理者権限でPCにログオンしたとき、NOD32を含む各種のアンチウイルススキャナをどの程度の時間で無効にできるか、というものです。この調査について、ESETのアンチマルウェア研究者であるPierre-Marc Bureauは次のように述べています。
「マルウェアがスキャナを無効にするためには、コードを実行する必要があります。スキャナがマルウェアを検出した場合、そのマルウェアはコードを実行できなくなるため、スキャナのプロセスが停止されることはなくなります。その意味で、ESETのプロアクティブな検出技術は、スキャナを無効にしようと試みるマルウェアに対する最大の防御策であると言えます」

David Harleyも同様の意見を述べています。
「もしPCに管理者権限でアクセスされた場合、それはPCを乗っ取られたのとほとんど同じことを意味します。ディスク上のサポートファイルを改変するだけで無効化できてしまう製品があったのに対し、NOD32がこの種の不正な変更操作に比較的強いことが判明したのは喜ばしいことです。しかし率直に言って、もしわたしが2分で無効にされてしまう製品を使っていたとしても、この調査結果を理由に別の製品に乗り換えることはおそらくないでしょう。それは、このテストに限らずリークテストについても同じです。アンチマルウェア製品の良し悪しは、このようなテストだけで計れるものではないからです」

ここで、Defcon 16で行われた悪名高き「Race to Zero」コンテストを思い出された方もいらっしゃるかもしれません。しかしESIEAは、これまでにも貴重な調査を数多く行っていますし、このテストも本物のマルウェアやリバースエンジニアリングを用いずに行われているようです（EICARテストファイルをマルウェアと見なす人はいないでしょう）。いずれにせよ、このテスト結果を製品の改善に利用できるかどうかを知るためにも、より詳細な情報が公開されることを期待したいと思います。

ESETの上級研究者であるAryeh Goretskyは、このテストが物理的にPCにアクセスできる状況を想定していることから、NTFS-3GをサポートするLinuxディストリビューションが格納されたUSBフラッシュドライブやLive CDを使えば、もっと早く、そして簡単にコンピューターを起動できると指摘しています。また、パスワードを強力なものにしたりディスクを暗号化したりすることで、この種の攻撃への耐性を高めることができるとも述べています。いずれにしても、このテストが興味深い試みであるのはまちがいありません。

Competitive Edge Research and Communication Inc.は先ごろ、ESETが協賛しているSecuring Our eCityプロジェクトの委託を受けて、ある調査を実施しました。サイバー犯罪、MacとPCの安全性、アンチウイルスソフトウェアの利用状況と要望、インターネットおよびオンラインバンキングの安全な利用方法などについて尋ねた調査で、約1,000人が回答しています。詳細については近々ブログで紹介する予定ですが、この結果には興味深い点（そして驚くべき点）がいくつか含まれています。

特に気になったのは、サイバー犯罪の犯人像について尋ねた設問です。この設問では、63%が「個人のハッカー」と回答しており、「組織化されたグループ」と回答したのはわずか21%でした。2009年も終わりを迎えようという時期にあって、この数字はいささか心許ないものと言わざるを得ません。適切なセキュリティ対策を講じてさえいれば、サイバー犯罪者が個人であろうと組織であろうと個々のユーザーには関係ない、という意見もあるかもしれませんが、もし私たちが、脅威の特徴や性質を十分ユーザーに伝えることができていないとすれば、ユーザーはおそらく「適切なセキュリティ対策とは何か」も理解できていない、ということになってしまうからです。

10月31日にはハロウィンが大変な盛り上がりを見せましたが、マルウェア作者は、このような機会を最大限ソーシャルエンジニアリングに利用しようとします。ESETのテクニカルエデュケーション担当ディレクターであるRandy Abramsはブログで、偽のeカードや動画を利用した攻撃が行われると予測し、ブラティスラバ（スロバキア）にある研究所の責任者であるJuraj Malchoは、SEO（検索エンジン最適化）ポイズニング（インデックスハイジャッキング）を使った偽のセキュリティソフトウェアが大量に出現すると警告していました。マルウェア作者は、このSEOポイズニングにより、ユーザーがGoogleなどの検索エンジンを使ってハロウィンに関連した用語（「ハロウィンの衣装」、「吸血鬼」、「カボチャの表情」といったものから、映画フランチャイズの「Halloween」についての検索ワード、さらには「ハロウィン キリマンジャロ 起源」といった意図がよくわからないものまで）を検索したときに、偽のセキュリティソフトウェアへのリンクが検索結果の上位に表示されるようにします。そして、コンピューターにマルウェアが存在していると偽の警告を表示して、マルウェアを削除するためにはこのソフトウェアを購入する必要があるとユーザーを脅します。

この種の攻撃については、David Harleyがブログで解説しています。また、Tasneem PatanwalaによるSEOポイズニングについての記事も参考になります。SEOポイズニング全般についてのその他の記事はこちら、偽のセキュリティソフトウェア全般についてのDavid Harleyの解説はこちらでご覧ください。

また偽のセキュリティソフトウェアについては、Cristian Borghelloによるホワイトペーパーも公開されています。