圧縮したまま実行するウイルスは存在するのでしょうか？

質問

先日、あるところで、
「圧縮したまま実行するウイルスが、全く存在しないわけではない」
と耳にしました。

そのときは、それ以上のことは聞けなかったので、
後で、トレンドマイクロ、シマンテック、マカフィーのウイルスの情報ページを調べてみました。
しかし、私が調べた範囲では見つけることが出来ませんでした。

もし、「圧縮したまま実行するウイルス」の具体的な概要などをご存知の方がいらっしゃいましたたら、是非お教えください。
関係するWebページを紹介くださるだけでもありがたいです。

また、仮に存在しないにしても、「圧縮したまま実行するウイルス」は技術的に可能でしょうか？

よろしくお願いします。

回答No.5

waros99 · ベストアンサー

#3です。

>Webからのトラフィック中の圧縮ファイルを検査したり
>常駐保護でも圧縮ファイルの検査ができないと、
>対処できないということでしょうか？

はい、そうです。ただし、「トラフィック中の圧縮ファイル」に関しては、キャッシュ→ファイルでスキャン可能になります。これはどんなAVでもそうです。

>Virtual Machineってそういう時に役に立つのですね

実は、最近ではAnti-VMやAnti-SandBoxと言って、動作解析が効かないように細工してあるものもしばしばあります。まあ、こういう場合でもリバースエンジニアリングなどで対応するようです。セキュリティーベンダなどでは。

ちなみに、#4さんが紹介してるのは一番有名なやつですね。UPXなんてほとの一部です。某国のそれ系のサイトを覗くと、一月に複数個改変ツールが上がってます。

お礼

度々のレス、ありがとうございます。

>>Webからのトラフィック中の圧縮ファイルを検査したり
>>常駐保護でも圧縮ファイルの検査ができないと、
>>対処できないということでしょうか？

>はい、そうです。

すると、選択肢に残るAVは、現行では、カスペルスキーぐらいに限られてしまいそうですね、、、
実は、6.0と7.0も試したのですが、ちょっと動作の引っかかりがきついので、苦手なんです。
けど、またがんばって挑戦してみます。おかげさまで決心がつきました。ちょっと大げさですが。

「リバースエンジニアリング」は、初めて知った言葉なのですが、
検索してみると、いろいろと興味深い記述がありました。
圧縮する理由などもわかりました。

マルウェアを作る側も、お金のためなら、技術開発に必死なようですね。
その熱意で堅気に働いたほうが安全に儲からないのかしら、、、
そうなると、セキュリティソフト会社が、やることがなくなってつぶれてしまいますね。

回答No.4

doki2

参考：ＵＰＸとは？
http://homepage2.nifty.com/maskp/upxhtm/upxmask.htm

実行ファイルを圧縮できる
圧縮された状態で実行可能

優れた圧縮方法ではありますが、ウィルスやスパイウエアとして悪用されることがあり、ウィルス対策ソフトメーカーが目の仇にしていた時期がある。
「UPX　ウィルス」でインターネット検索すれば実例が多数見つかります。

補足

ご回答ありがとうございます。

一人で調べていると、なかなか広がらないもので、
こういったお話を伺えると、とてもありがたいです。

Googleで「UPX　ウィルス」と検索してみると、いろいろと興味深い記述がありますね。
(というか、実は楽しいです。ちょっと不謹慎？)

まどろこっしいと思われるかもしれませんが、
私の頭の中では、、、

1.実行可能な圧縮形式がいろいろとあります。

2.セキュリティソフトメーカーは、UPXで
圧縮されたウイルスなどを、圧縮されたファイル自体で検出できるようにしている。

3.(私の推測)圧縮のアルゴリズムはいろいろとあるので、
全部には対処しきれない。

4.これも推測ですが、
・セキュリティソフトが、インターネットからDLするファイルを検査しても、
取りこぼしはいくらでもありますよ。
・常駐保護で、圧縮ファイルを検査しても、取りこぼしが、どうしても出ます。
・オンデマンドスキャンなどの事前検出も必要ですが、実際の勝負は、
メモリに読み込まれたときに、検出対処できるかどうかにかかっています。

ということでしょうか？

大変お手数をおかけして申し訳ありませんが、実際のところいかがでしょうか？
なかなか、こういったお話を伺える機会はないもので、、、

よろしくお願いします。

余談ですが、
私は、まだExcelでVBAぐらいしか書けないのですが、
EXEファイルを作ることが出来るようになると、
おもしろそうですね。
作りたいプログラムだけはたくさんあります。

フリーソフトを提供してくださる皆様に感謝です。

回答No.3

waros99

こんにちは。

ボクはその筋のコミュニティーの潜入調査やVirtual Machine上でAVのスキャンやPFWの検知をすり抜けるMalwareの動作解析みたいなことをやってます。

で、ZIPやRAR等の一般的な圧縮形式の脆弱性を悪用するウイルスというのも確かに存在しますが、そういう手法とはまったく別に、exeやscr等の実行形式のウイルスにおいて、実行形式を保ったまま圧縮できるクラッキングツールなんていくらでもありますよ。これらは脆弱性とか関係ないです。

補足

こんにちは。ご回答ありがとうございます。

その筋の方(ちょっと言葉が適切でなかった？)からお答えをいただけて、
たいへん参考になります。

>実行形式を保ったまま圧縮できるクラッキングツールなんていくらでもありますよ。

圧縮されているということは、侵入や拡散を防ぐには、
Webからのトラフィック中の圧縮ファイルを検査したり
常駐保護でも圧縮ファイルの検査ができないと、
対処できないということでしょうか？

もしよろしければ、重ねがさねお手数をおかけして恐縮ですが、
教えてくださると、大変参考になります。

どうぞよろしくお願いします。

>Virtual Machine上でAVのスキャンやPFWの検知をすり抜けるMalwareの動作解析

余談ですが、
Virtual Machineってそういう時に役に立つのですね。
実は私は、「XP上でVistaが動く！わーすごい！」で終わっていました(笑)。

回答No.2

noname#96023

>シマンテックはこんなこと公表してもいいのかしら？
具体的に攻撃方法を周知してるわけでないので、良いのではないでしょうか

回答No.1

noname#96023

ちょうどこんなバグが出てますね
http://www.symantec.com/region/jp/avcenter/security/content/2007.07.11f.html

お礼

ご回答ありがとうございます。

NISなどを使っているPCなら、このバグを使った圧縮ファイルで
攻撃できるということですね。

とんでもないことを平気で書いていますが、
実証コードを作ることなんて私はしませんし、できません。

シマンテックはこんなこと公表してもいいのかしら？