ESETが開発した先進のマルウェアレポーティング/追跡システム「ThreatSense.Net」によると、2010年4月度のランキングは、「Win32/Conficker」が第1位という結果になりました。このマルウェアは、検出された脅威全体のうち9.47%を占めています。トップ10にランクインした各マルウェアの詳細については、本レポートの「マルウェアランキングトップ10」をご覧ください。

ESETでは、2010年3月度に本レポートの構成を変更しました。変更の理由は、しばらく前からランキング以外のコンテンツを掲載していたにもかかわらず、本レポートには脅威のトップ10しか掲載されていないと誤解されることが多かったためです。トップ10のランキングは、レポートの前半部から後半部に移動しています。また目次を見ればおわかりのように、今月度のレポートでは構成、そしてその内容についてさらなる変更を加えています。

ただし、レポートの改訂はこれで確定したわけではありません。レポートの見やすさやその内容について、ご意見やご希望などがありましたらぜひお知らせください。まずは、ブログ「Monthly ThreatSense Report: What Do You Think?」までコメントをお寄せください。

最近、無償のアンチウイルスソフトウェアの性能は有償ソフトウェアと同等である、という説の証明のために行われているとおぼしきテストを数多く目にします。またCNETにも、「セキュリティソフトウェアにはお金を払うべきではない」と主張するRafe Needleman氏の記事が掲載されています。マルウェア対策のためのプログラムで利益を得るのは倫理的に問題がある、というような論旨をそれとなく披露するのは同氏に限りません（この種の人々にいわせれば、われわれはもっときちんとした職を得て、仕事外の時間にアンチウイルスソフトウェアを開発するべきなのでしょう）。われわれとしても、その利用がライセンス違反ではなく、またユーザーが実際以上の効果を期待するのでなければ、無償アンチウイルスソフトウェアの利用に特段の問題はないと考えています。実際、ESETでも無償のWebスキャンサービスを提供しています（ただし、この種のサービスをフル機能のアンチマルウェアソフトウェアの代わりに使うことはお勧めしません）。

以下は、ESETアイルランドのUrban Schrottが執筆したこの問題についての論考です（完全版はこちらをご覧ください）。

少し前のことですが、ある一般消費者向けの雑誌に掲載されていた1つの記事が目にとまりました。それは、「決してお金を払ってはいけないものベスト10」といった内容の記事で、そのうちの1つにアンチウイルスソフトウェアが挙げられていました。記事の主張は明快です。ただで手に入るものにお金を払う必要などないではないか、というのです。この問題については以前にも論じたことがありますが、無償のアンチウイルスソフトウェアと有償ソフトウェアの効果は本当に同等なのか、ここでもう一度考えてみたいと思います。

まず、「無償」の意味を定義するところから始めましょう。商業ベースのセキュリティベンダーのほとんどは、自社製品の無償版も提供しています。一般に、無償版が使用期限なしで提供される場合は使用できる機能に制限があり、機能制限なしで提供される場合はトライアル版として使用期限が設定されています（その期限が過ぎると通常はソフトウェアを使用できなくなります）。例えば、マルウェアの検出は可能でもその駆除には料金を支払う必要があったり、検出と駆除はできても特定タイプのマルウェアに限定されたりします。このような無償版を提供しているベンダーの多くは、機能や使用期間に制限のないフルバージョンを有償で提供しています。

マーケティングが大きな意味を持つ今日では、ブランド構築のために自社製品の無償配布が一般的に行われています。ただし、ここでいうブランド構築は、製品の知名度を上げることではなく、長期的な観点での売上や利益向上を目的としています。つまり、機能や使用期間を制限した無償版は、ベンダーが善意のサービスとしてユーザーに提供しているのではなく、フルバージョンを利用してもらうための足がかりを用意しているのです。われわれベンダーも、できることなら完全に無償で製品を配布したいのですが、わたし達にも生活があります。妻や子供たち、年老いた両親を養い、住宅ローンを支払い続けねばなりません。

これとは別に、オペレーティングシステムのベンダーもセキュリティスイートを提供しています。しかしこれは、セキュリティよりもマーケティングが優先された結果と見なせるかもしれません。サイバー犯罪者たちが嬉々として利用するセキュリティホール満載のオペレーティングシステムにセキュリティを後付けする無償のセキュリティスイートを提供するのではなく、オペレーティングシステム自体にすぐれたセキュリティを組み込むべきだからです。またこの種のセキュリティスイートを、そもそもユーザーがすでに代金を支払っているオペレーティングシステムに対する付加価値と捉えた場合、これを純粋に「無償」であると考えることはできないかもしれません。

セキュリティソフトウェアへの出費を惜しむと、本当に危険な目に遭う場合があります（この問題の詳細については、ESETのCristian Borghelloによるホワイトペーパー『Free but Fake: Rogue Anti-Malware』をご覧ください）。詐欺などの不正行為を行う偽の「アンチマルウェア製品」の多くは、自らを「無償のアンチウイルスソフトウェア」と称しているからです。不用心なユーザーが検索エンジンで「無償のアンチウイルス」と検索した場合、SEO（検索エンジン最適化：自らのWebサイトを検索結果の上位に表示させる一連の手法。正規サイトもサイバー犯罪者も利用している）によって簡単に不正なサイトに誘導される恐れがあります。このようなサイトに誘導されたユーザーは、悪意のあるコンテンツをダウンロードさせられ、詐欺やゆすりによって金銭を支払うはめになりかねません。

現在のフル機能のセキュリティ製品は、アンチウイルス以外の機能も多数備えています。サイバー犯罪者はこれに対抗すべく、標的のコンピュータに侵入して目的を遂げる新たな方法を模索する行為に力を注いでいます。彼らには専念する時間とリソースが十分あるため、今日の脅威は極めて多様な形で出現するようになっています。

今日のマルウェアは、次のようにさまざまな経路で感染を広げます。

• 電子メールなどのメッセージングシステム： 悪意あるファイルの添付、ドライブバイダウンロードを実行するリンク、ソーシャルエンジニアリングを駆使してのマルウェアのインストール（コーデックに偽装するなど）
• Autorun機能による自動感染、一見無害なプログラムを介して危険なマルウェアをダウンロード
• IPアドレスを継続的かつランダムにプローブし、脆弱性のあるコンピュータを探知

しっかりとしたセキュリティソリューションを開発・保守していくためには、熟練の技術者と高度なラボ環境、そして最高レベルのテクノロジーが必要となりますが、そのいずれも無償では手に入りません。一部のテスターたちは、「無償のセキュリティソフトウェアの性能は有償のスイート製品と遜色ない」と結論づけようと急ぐあまり、この事実を見過ごしがちです。

サイバー犯罪との戦いで重要となるのは、戦略的な思考と、脅威への新たな対抗策を生み出す力です。脅威の検出はその戦いにおける1つの要素ですが、度重なる検証と欠かさぬ改良努力が検出技術に加えられてきました。従来のウイルス定義ファイルから、サンドボックス、振る舞い検出、ヒューリスティックス、アドバンスドヒューリスティックス、そしてクラウド技術の利用に至るまで、次々と新たな検出技術が開発されています。

そして、検出手法がますますプロアクティブになるにつれ、セキュリティを最大限に保ちながらも誤検知は最小限に抑え、駆除を効果的に行う機能が求められています。さらには1990年代のウイルス全盛の時代には想像もできなかった、ウイルス以外の攻撃への的確な対処がますます重要になっています。そのためには、侵入防御やスパム対策機能、Webサイトセキュリティ、ソーシャルエンジニアリング攻撃の防止/抑止といった補完的なテクノロジーを活用することも必要となります。

無償・有償の対立は、つまるところ製品のビジネスモデルについての議論であるといえます。主にホームユーザーに対しては、（合法的な）「フリーランチ*」（free lunch：「対価なしに無料で手に入るもの」の意）として無償のセキュリティソフトウェアが提供されることもあるでしょう。しかし合法的かどうかは別にしても、フリーランチの栄養は期待外れな点を否定できません。

ESETアイルランドは先ごろ、ユーザーがセキュリティ製品で最も重視する点についてアンケートを実施しました。回答の選択肢は「検出性能」、「リソース使用量」、「価格」の3つです。アンケートの結果、ほとんどのユーザーは「検出性能」を選択しました。少ない「リソース使用量」を望むとの声もありましたが、「価格」を挙げた回答者はほとんどいませんでした。このアンケート結果には、ユーザーがセキュリティソフトウェアに対して望むポイントが明確に示されています。あとは、一部ジャーナリストが手抜をやめて、複雑な問題に対する簡潔な解決策が華々しく登場してくれれば申し分ないのですが、それは期待薄かもしれません。

Urban Schrott
ITセキュリティ/サイバー犯罪担当アナリスト
ESETアイルランド
*フリーランチについては、「There is no such thing as a free lunch（ただより高いものはない）」ということわざがあります。

英国ロンドンのアールズコートで開催されたセキュリティイベント「Infosecurity Europe」で、ESETは大きな注目を集めました。非常に特徴的なESETブースには多くのカメラマンが集まり、とりわけ獲得した数々のアワードを掲示したパネルやESETアンドロイド像は大きな関心を集めていました（ESETアンドロイドは年々巨大化しているようです）。同イベントへの出展がこれほどまでに成功したのは、英国およびブラティスラバのスタッフのおかげです。また同イベントでは、ESET LLCのDavid HarleyがBusiness Strategy Theatreで「Apple, Security, and the Power of Perception」と題する講演を行い、大きな存在感を示しました。このテーマについてのホワイトペーパーはまもなくESET Webサイトのホワイトペーパーページに公開される予定ですが、要点を次にまとめておきます。

• ウイルスは現在、MacでもWindowsでもそれほど大きな問題にはなっていないが、両プラットフォームにセキュリティ問題が存在しないわけではない。
• Securing Our eCityの委託でCERC（Competitive Edge Research and Communication, Inc.）が最近実施した調査では、次のことが明らかになっている。
  • おそらくは多くの人が想像する通り）PC所有者はMac所有者よりも多い。またPCとMacの両方を所有しているユーザーはMacだけのユーザーよりも多い。調査回答者の2.1%は自分が所有するコンピュータの種類を理解していない。
  • 全体の10%近くは「Macにはまったく脆弱性がない」と考えている。これは、Macユーザーでは16%、PCユーザーでは12%にあたる。
• 「自分のコンピュータのセキュリティは万全なのでセキュリティに注意する必要はない」と考えているユーザーが、ソーシャルエンジニアリング攻撃の最大の標的となっている。
• Mac OS Xを標的とする悪意あるプログラムの数は、Windowsに比べればごくわずかである。しかしすでに、Mac OS Xを狙う悪意あるバイナリファイルの数は、Mac OS X以前のMac OSを標的とするウイルスの数を上回っている。
• Jailbreak（ロック解除）されたiPhoneの問題は、アプリケーションホワイトリストでスマートフォンを保護しようとするモデルの弱点を明らかにした。これは、ただ1つの脆弱性の悪用が、コンセプト実証コードからマルチプラットフォームのハッカーツール、そして本格的なボットネットへと深刻化することによって立証された。
• Mac OS Xのセキュリティモデルの実装は、そのコンセプトほどはうまくいっていない。
• Macのセキュリティが破綻したというわけではないが、たとえホームユーザーであってもMacの安全性を過信するべきではない。

David Harleyは、Mac Virusブログの「Is there such a thing as Mac malware?」と題する記事の中で、次のように述べています。「もしあなたが、『自分はソーシャルエンジニアリングを仕掛けるトロイの木馬にだまされるほど不注意ではない』、『実際に被害に遭う可能性はそれほど大きくないのでリスクは受け入れる』、『パッチ未公開の脆弱性を悪用した自動実行型の攻撃など気にならない』という理由でアンチマルウェアソフトウェアは不要だと考えているのなら、どうぞご自由にというほかありません。しかし、『Macマルウェアなど存在しない』、『ウイルスにさえ注意すればいい』といった根拠のない考えに基づいて行動しないでください」

Infosecurity Europeの開催地であるアールズコートに到着したとき、Davidは、パーカーを着た数人の男性の出迎えを受けました。彼らのパーカーには、映画「The Italian Job」（邦題「ミニミニ大作戦」）での俳優Michael Caineの有名な台詞をもじったフレーズがプリントされており、胸には「ウイルスだけをぶっ飛ばせばいいんだよ」（オリジナルの映画では「ドアだけぶっ飛ばせばいいんだよ」）、背中には誤検知を引き起こしたMcAfeeの定義ファイル番号「5958」が書かれていました。非常におもしろいパフォーマンスです。しかし、McAfeeはわれわれの競争相手ではありますが、このような他社の問題を有利に利用しようとする行為は適切とはいえません（節操に欠ける1、2社のベンダーがまさにそのような行為をしていますが）。われわれアンチマルウェアベンダーは、あらゆる脅威をもれなく検出し、誤検知をゼロに抑えたいと考えていますが、脅威の動向がめまぐるしく変化する中、それを実現するのは不可能です。幸い、ほとんどの誤検知はごくわずかなユーザーに影響するだけで済んでいますが、もしどこかのベンダーの営業担当が「当社の製品が今回のような大問題を引き起こすことはありませんよ」などと言ったら、上司を呼ぶように要求すべきでしょう。Davidは、AVIEN（Anti-Virus Information Exchange Network）のブログで次のように述べています。

「アンチマルウェアベンダーの価値は、製品が誤検知を起こさないとか、自社製品が引き起こした問題で批判が集まる前に処分を下すといったことではなく、問題解決のために前向きな行動を取れるかどうかで決まるのです」

これだけで済んでいればまだよかったのですが、残念ながら、この問題に便乗して大規模なSEO（検索エンジン最適化）キャンペーンを仕掛ける犯罪グループやマルウェア作者が出てきてしまいました。McAfeeの誤検知問題が明らかになってから、この問題に関連する用語をキーワードにして検索を行うと、偽のアンチウイルスソフトウェアを配布するサイトに不用心なユーザーをリダイレクトする大量のリンクが検索結果に表示されるようになっているのです。例えば、ある一連のキーワードを試したところ、検索結果一覧の先頭20サイトのうち11サイトが悪意のあるサイトという結果になりました（詳細については、ブログ「McAfee FP news misused for more SEO poisoning」をご覧ください）。ソーシャルエンジニアリングを用いて不正活動を行うために、犯罪グループがありとあらゆる機会を利用しようとするのはもはや周知の事実です。有名人のスキャンダルやスポーツ、エンターテイメントの話題にとどまらず、環境破壊や飛行機の墜落事故、テロ事件のニュースへの便乗に彼らは何ら躊躇しません。今回の場合はそれどころか、犯罪グループの敵であるセキュリティベンダーの1つが引き起こした問題を利用できる機会に、特別な喜びを感じてさえいるかもしれません。

現在でも、この問題については、スロバキア、中南米、そして米国カリフォルニアのESETチームが協力して、SEOポイズニングやそれに関連する偽セキュリティソフトウェアについての情報を追跡して公開する活動が続いています。

David Harley、Andrew Lee、そしてPierre-Marc Bureauの3人は、パリで開催されるEICARカンファレンスにてApple製品のセキュリティに関するまた別の論文を発表します。同カンファレンスでは、Jan VrabecとDavid Harleyによるパフォーマンステストについての講演も行われます。5月後半には、フィンランドのヘルシンキで開かれるCAROワークショップとAMTSO（Anti-Malware Testing Standards Organization）ワークショップにESETも参加する予定です。

AMTSOに関していえば、同組織の理事でもあるDavid Harleyの執筆記事がVirus Bulletin誌に掲載されています。この記事はAMTSOのWebサイトからダウンロードできます。また、ESET Webサイトのホワイトペーパーページにも、『A Tried and True Weapon: Social Engineering』（Cristian Borghello著、Chris Mandarano翻訳）や『Re-Floating the Titanic: Dealing with Social Engineering Attacks』（David Harley著）をはじめとする新たなホワイトペーパーが多数追加されています。