ゾンビ化したPCへのファイアウォールの導入

質問

150万台のシステムを乗っ取ったゾンビネットワーク
http://www.itmedia.co.jp/enterprise/articles/0510/24/news043.html
この記事について質問があります。

記事を読んで、初めてゾンビネットワークについて知りました。
知らない間に踏み台にされているなんて、迷惑な話です。

そこで質問です。
すでにゾンビ化しているPCがあるとします。
そのPCにファイアウォールを導入した場合、ゾンビ状態から解除されるのでしょうか？
ウィルスの場合、ウィルスが駆除ソフトを無効にする場合もあるかと思いますが、ゾンビの場合はどうなんでしょうか？

回答No.1

horuchin · ベストアンサー

＞そのPCにファイアウォールを導入した場合、ゾンビ状態から解除されるのでしょうか？

開放されない場合があります。
感染していても、ひそかに隠れて指令を待っていて、そのとき（実行の指令）まで活動しないものもあります。
派手な活動をするまではウイルス対策ソフト会社にも認識されていないので、定義に加えられずに検出できないときがあります。
また、指令により自身をバージョンアップしていくのでウイルス対策ソフトのチェックをかいくぐっていくものもあります。

＞ウィルスが駆除ソフトを無効にする場合もあるかと思いますが、ゾンビの場合はどうなんでしょうか？

中にはあるかと思いますが、上記のように派手な活動をするまでわからないといったところが現状でしょう。

対策として、OSのアップデート、セキュリティのアップデートは必須。

送受信のパケット数の観察。
アプリがすべて終了しているにもかかわらず、パケット数が増えていないか?

通信ログのIPアドレスの記録で、知らない会社やプロバイダがないか。

などが大まかな対策でしょう。

現在、パソコンだけではなくネット家電やルーターが踏み台になったこともあるようです。
気をつけていても知らない間に踏み台にされていたなんて厄介なものです。

お礼

指令により自身をバージョンアップしていくということは、常駐プログラムやサービスが追加されるイメージなんでしょうか。だとすると、本当にやっかいですね。
送受信のパケット数の観察やら通信ログのIPアドレスの記録など、実際に行うには労力が必要になるので億劫ですが、踏み台にされた先で被害にあっている人がいることを考えれば、行ったほうが良いのでしょうね。
回答ありがとうございました。

回答No.2

hoihence

こんにちは。

まあ、最近はその筋の世界では、RATやBOTが人気あるみたいですから。

>そのPCにファイアウォールを導入した場合、ゾンビ状態から解除されるのでしょうか

できる場合もあるし。すり抜けられる場合もあると思いますね。そもそもFWは万能じゃないし。Passive Attackに弱い場合も割りとあるんじゃない。

>ウィルスの場合、ウィルスが駆除ソフトを無効にする場合もあるかと思いますが、ゾンビの場合はどうなんでしょうか

そりゃありますよ。常套手段だから。

ちなみに、俺の環境では、既存プロセスへの介入ないしはHook、Injectin、Patching、Stealthなどに対しても考慮されてます。
例えば、Internet Explorerに同化させてデータを持ち出そうとしても察知できるようになってます。昨今、データ流出の事件をよく耳にするようになってきてるので、アウトバウンド監視は今まで以上に重要になってきてます。

お礼

結局、ゾンビ可する前後に関わらず、ファイアウォールは万能ではないということですね。ないよりはあるほうがましといったレベルなんでしょうかね。色々文中の用語は調べさせていただきます。
回答ありがとうございました。