DIONのメール駆除、symantecのウィルス検知に反応しない？

質問

質問の前に、状況としては
私がいて、私の知り合いのインストラクターがいて、そのインストラクターが全く初心者のPCをいじっている状態です。

■状況
　私のほうから、以下のテストウィルスを送信しても、DIONのウィルス駆除サービス（有料で支払っているもの）、及び、symantecのメール検知が作動してくれないようです。

　http://www.trendmicro.co.jp/download/test-virus.asp

　また、添付から取り出してもらって、それを送信しても、Nortonでも警告でずに私のほうにそのまま届いてしまうとのことです。

＃なお、意図的にSymantecの全サービスを停止させて、テストウィルスが届いていることを確認しています。

■推定環境
　使っている本人はどんな環境かわからないとのことですが、おおまかきいた所
　2003年頃に購入したPC
　WindowsXP　SP2らしい（セキュリティーセンターが存在する）
　Norton 2004らしきものが当初はいっていたが、お金を払っており、一応2006にアップデートされている。
　メールは、Outlook Express

■こちらの環境
　ウィルス対策ソフトは一切入っておらず（メールサーバー側でも対処されていない）
　Thunderbirdで送信しています。

p.s.一応、インストラクターいるので、そう簡単に動かせないようにした本物のウィルスでテストしてもいいのですが、危ないのでなるだけしたくない次第です。

どうしたら、ちゃんとウィルス対策できるでしょうか？

よろしくお願いします。

回答No.1

ryu-fiz · ベストアンサー

DIONのサービス、Norton（InternetSecurityもしくはAntiVirus）の両方が正常に作動しないなんて通常では考えにくいケースですので…ちょっと調べてみました。

まずシマンテックのテクニカルサポート情報をご覧ください。
http://service1.symantec.com/support/inter/ent-gate-jp.nsf/jp_docid/20030204171413962?OpenDocument&dtype=corp

ちなみにDIONのメール関連のウィルススキャンはシマンテックの技術を使ってるようですので、PCにインストールされてるものとはメールスキャナとしては完全にかぶった状態ですね。（無駄なような気もしますが…ま、いっか）

この情報によると…テストウィルス用の文字列の末尾に改行コードが含まれていない場合には正常に検出されない、とあります。
試しにそちらでお使いになったトレンドマイクロ配布のテストウィルスをこちらでもダウンロードして内容を確認しましたところ改行コードが…

…入ってました（汗）

実証のためのテストはしなくても大丈夫だとは思いますが、どうしても、ということであればメモ帳などのテキストエディタで改行コードを除いたものを使うか、
http://www.eicar.org/anti_virus_test_file.htm
からダウンロードしたものを使えば正常な形で検出される筈だと思います。

お礼

こちらから送信したテストウィルスは、TrendMicroのオンラインスキャンで検出することを確認しています。

ですが・・・
trendmicroからダウンロードしたのは、７０バイト（改行あり）
コピペしたのは、６８バイト（改行なし）ですね。

念のため再確認してみます。

＃以前、DLした、７０バイトのeicarが、symantecのオンラインスキャンで検出された覚えはあるのですが・・汗

回答No.2

ryu-fiz

先述しました
http://service1.symantec.com/support/inter/ent-gate-jp.nsf/jp_docid/20030204171413962?OpenDocument&dtype=corp
の内容からすると、通常のウィルススキャンとメールスキャンとでは改行コード入りのeicar.comに対する動作が違うように思われます。ページの中の、
*****
Norton AntiVirus Corporate Edition (NAVCE) や Symantec AntiVirus Corporate Edition (SAVCE) では作成したテストウイルスが正常に検出されて検疫されるが、電子メールに添付して送信すると Norton AntiVirus for Gateways (NAVGW) や Symantec AntiVirus for SMTP Gateways (SAV SMTP) では何も検出されない。
*****
というくだりがそれに当たります。

オンラインスキャンは通常のウィルス検出に準じた動作ですので、改行入りのものも正常に検出された、というのは想定内の動作ではないかと思います。

ウィルスバスターのオンラインスキャンで検出出来たことについても、だからシマンテックのメールスキャンで検出出来ないのがソフトの不良や設定ミスが原因とは思えません。単なる仕様の違い、と受け止めるべきです。

シマンテックの技術を利用したメールスキャンのテストには、やはり改行コード入りではないeicar.comを使うべきだと思います。

言ってる意味がお分かりいただけたでしょうか？

もし改行コードが入っていないテストウィルスでもメールスキャンで引っ掛からない、ということであれば…その際はシマンテックのテクニカルサポートに直接相談すべきかも知れません。
まぁ、無害なテストウィルスに対する過剰な反応でサーバやクライアントPCに余計な負荷を掛けたくないから…という回答が出てもおかしくないとは思いますが。（実際にシマンテックのメールスキャンでeicarが引っ掛からない、これはあえて見逃しているんだろうという内容の記述はWebに幾つか見つかりましたし。）

お礼

無事、検出されました。ありがとうございます。

・パターン１
　普通にeicar付添付ファイル送信＞メールサーバーにて
・パターン２
　eicarを検出できないよう２重圧縮をし、解凍後スキャン
・パターン３
　↑を含む添付ファイルを送信＞ノートンにて検出