premier's Diary

ファイル共有ソフトを経由した情報流出が相次いでいる。原因はウイルス。ファイル共有ソフトを悪用するウイルスは、特定の種類のファイルとウイルス を1つのファイルに圧縮。圧縮したファイルを、ファイル共有ソフトの公開フォルダーにコピーして、第三者が自由に入手できる状態にする（図1）。

【大事なファイルとウイルスを圧縮、共有ソフトで公開】

図 1　ファイル共有ソフトを悪用するウイルス（Winnyウイルス）の仕組み。感染すると、特定のファイルとウイルスを1つのファイルに圧縮して、ほかの ユーザーが自由にダウンロードできる状態にする。ファイル名には検索されそうな文字列を含めることで、ダウンロードされる可能性を高める

　本誌では、こういったウイルスを「Winnyウイルス」とするが、悪用の対象はWinnyに限らない。Shareや「Cabos」といったほかのファイル共有ソフトを悪用するウイルスも確認されている。

アイコンの偽装でだます

　日立グループのセキュリティ組織が実施したアンケートでは、ファイル共有ソフトユーザーの18.9％が、Winnyウイルスに感染したことがあると答えた（図2）。

【大事なファイルとウイルスを圧縮、共有ソフトで公開】

図 2　ファイル共有ソフト経由のウイルス感染に関するアンケート調査の結果。日立グループのセキュリティ組織「HIRT」などが2009年9月に実施した。 「ファイル共有ソフトを現在使っている」と答えた人のうち、4割以上がウイルスをダウンロードしたことがあると回答。18.9％はそのウイルスに感染した としている。しかも、その半数近くは3回以上感染しているという

　これだけ多くのユーザーが感染しているのは、Winnyウイルスがアイコンとファイル名を偽装するためだ（図3）。ウイルスの実体は実行形式ファイルだが、アイコンをフォルダーや動画などに偽装。ダブルクリックしても問題がないファイル種類に見せかける。

【安全なファイルに見せかけて実行させる】

図3　アイコンの偽装はWinnyウイルスの常とう手段。ファイル名に偽の拡張子を挿入して偽装し、実行形式以外のファイル形式に見せかけることも多い。いずれも、Windowsの初期設定では本当の拡張子が表示されないため、だまされる危険性が高い

　ファイル名の偽装も常とう手段の一つ。例えば「お宝動画.wmv.exe」のように、偽装したアイコンに合わせた拡張子をファイル名に含める。Windowsの初期設定ではexeは表示されないので、wmvの拡張子を持つ動画ファイルに見える。

　日立グループのセキュリティ組織では、Winnyウイルスの偽装についても調べた（図4）。その結果、ほとんどのウイルスがアイコンを偽装していることが分かった。

【Winnyウイルスの95％がアイコンを偽装】

図 4　日立グループのセキュリティ組織「HIRT」などによるWinnyウイルスの調査結果。Winnyネットワークに流れるウイルスの偽装の有無を調べ た。アイコンだけ、あるいはアイコンとファイル名を偽装していたウイルスは、2008年は87.4％、2009年は95.2％だった

　ファイル共有ソフトで感染を広げるウイルスの中には、ファイルを破壊するタイプもある。その一つが、2009年夏以降に感染を広げている「タコイカウイ ルス」（図5）。ウイルスは動画ファイルに偽装。実行されると、パソコンに保存されているファイルをタコやイカなどの魚介類の画像で上書きして破壊する。

【魚介類の絵で上書きしてファイルを破壊するウイルスも】

図 5　ファイル共有ソフトで感染を広げる通称「タコイカウイルス」にファイルを破壊されたフォルダーの例（画面はトレンドマイクロ提供）。動画に見せかけた ウイルスを実行すると、ファイルを同じ名前（拡張子はPNG）の画像に置き換えると同時に、パソコン内の情報を盗むウイルスを生成して実行する