セキュリティソフト ウイルス隔離

質問

McAfeeで半年前に検出されたウイルス（Natas.mp）が隔離されていたのを、今日気づきました。
「隔離では、パソコンに影響を及ぼさない安全な場所に不審な項目を移動します」と書かれているのですが、”パソコンに影響を及ぼさない安全な場所”とはどこでしょうか？
また、隔離されたウイルスやスパイウェアなどは活動できないのでしょうか？その仕組を教えて下さい。

ついでに、Natas.mpの技術情報？のようですが、意味がわかりません。わかりやすく教えて下さい。
「これは、危険なメモリ常駐するマルチパータイトポリモフィックウイルスです。それは、INT 13h, 21h をフックして、ハードドライブの MBR とフロッピーディスクのブートセクターとアクセスされた COM と EXE ファイルの終わりににそれ自身を書きます。それは、PKZIP/PKUNZIP, LHA と ARJ 圧縮によってオープンされるファイルは感染させません。その内部のカウンターによっては、ウイルスはディスクセクターをフォーマットします。それは、内部にテキスト文字列を含みます。」

回答No.2

chie65536（@chie65535） · ベストアンサー

＞”パソコンに影響を及ぼさない安全な場所”とはどこでしょうか？

McAfeeが用意した「隔離用フォルダ」です。

そのフォルダは、システムファイルや実行ファイルがあるかどうか探されるフォルダには含まれていませんので、そのフォルダを開いて中にあるファイルを自分でクリックしないかぎり、そこにあるファイルは実行されません。

＞また、隔離されたウイルスやスパイウェアなどは活動できないのでしょうか？

活動できません。

＞その仕組を教えて下さい。

通常、ウィルスとして活性化するには「何らかの方法で、ウィルスそのものが実行される必要」があります。

その方法は

・システムファイルが置いてあるフォルダのシステムファイルに寄生し、OSから実行される

・レジストリのスタートアップに登録し、OS起動時に実行されるようにする

・ユーザーにクリックさせてユーザーに実行させる

などです。

で、セキュリティソフトがウィルスを隔離する場合は

セキュリティソフトだけが知っているフォルダにファイルを移動し、クリックしても実行されてしまわないよう、ファイルの拡張子を変えてしまう

と言う事をします。

こうすると

・隔離場所がシステムファイルが置いてあるフォルダではないので、OSから実行されない

・レジストリのスタートアップに登録してあるフォルダ位置ではなくなるので、OS起動時に実行されない

・隔離フォルダはユーザーには判らないフォルダだし、拡張子が変えてあるので、ユーザーがクリックしても実行されない

と言う状態になります。

「実行されない」のであれば、ウィルスが存在していても、活動する事は出来ません。

＞ついでに、Natas.mpの技術情報？のようですが、意味がわかりません。わかりやすく教えて下さい。

「メモリに常駐するウィルスです」

「常駐すると、ディスクアクセス用のサービスルーチンを乗っ取ります」

「ディスクアクセス用のサービスルーチンが乗っ取られると、HDDやフロッピーのブートブロックが書き換えられ、拡張子がCOMやEXEになっている『実行可能ファイル』の後ろに自分自身のウィルスを寄生させます」

技術情報には書かれていませんが、これは「HDDやフロッピーのブートブロックが書き換えられると、HDDやフロッピーから起動する際にウィルスが実行されメモリに常駐します。また、ウィルスに寄生された実行可能ファイルが実行されるとウィルスが実行されメモリに常駐します」と言う意味も含まれています。

「*.zipや*.lzhや*.arcや*.rarなど、圧縮されてアーカイブになっているファイルには感染しません」

「ウィルスに感染後、ウィルスが実行される回数が一定の回数に達したら、ウィルスはディスク（HDDやフロッピー）をフォーマットして、データを全消しします」

「ウィルスには、特定のテキスト文字列が含まれています」

と言う意味です。

お礼

回答有難うございます。
隔離は思っていた以上に単純なんですね。

回答No.3

Tech_on

こんにちは。

解説致します。

>”パソコンに影響を及ぼさない安全な場所”とはどこでしょうか？

既に#1さんが回答されてます。専用の保存フォルダです。

>隔離されたウイルスやスパイウェアなどは活動できないのでしょうか？その仕組を教えて下さい。

はい、出来ません。暗号化による不活性化処理が施されます。実行しようとしてもWindowsのローダーが動かないです。

なお、「駆除」と「削除」は処理として違います。削除はまんまウイルスプログラムファイルの削除です。「駆除」はファイル感染型ウイルスにおいて、感染ファイルの悪性コード部分の取り除きを意味します。悪性コードの追記は先頭に追記する場合、末尾に追記する場合、あと、キャビティー型というのもあります。これはセクションの間隙にコードを埋め込む特殊手法です。Obfuscation(難読化)の一種。

>Natas.mpの技術情報？のようですが、意味がわかりません

要するにMBR(Master Boot Record)感染型のウイルスだということです。システムの起動時から居座られるということです。マルチパータイトポリモフィックウイルスというのは、複合手法を持つ自己変化型ウイルスということです。ポリモフィックウイルスは通常polyという言い方をされてます。

>その内部のカウンターによっては、ウイルスはディスクセクターをフォーマットします

これはおそらくウイルス自身が持つカウンター(変数)のことを言っていると思います。

>内部にテキスト文字列を含みます

http://www.mcafee.com/us/downloads/free-tools/bintext.aspx

↑　これ、バイナリファイル内のテキスト文字を見ることができるツールです。当方でも分析でよく使っています。

お礼

回答有難うございます。
なんとなくイメージはできました。
McAfeeのフリーツール、時間があったら色々試してみたいと思います。

回答No.1

kaisinjuku04

概略は下記サイトに目を通してください。
http://vanilla.xrea.jp/virus/category1/entry30.html

上記サイトでは、「駆除」と「削除」を区別していますが、最近ではどちらも総称して「駆除」としているソフトが多いように思います。
また、「隔離」は「駆除」出来ないからというより、誤検知したウィルスでないファイルを元に戻せるようにという目的の機能です。
よって、まずは自動的に「隔離」され、そのファイルが不要なものであればユーザーが「駆除」を実行する、という流れになっています。

さて、”パソコンに影響を及ぼさない安全な場所”について
OS・McAfeeのバージョンによって異なりますが、
C:\Users\（ユーザー名）\AppData\McAfee.com\VSO\Quarantine
にあると思います。
このフォルダは「隠しフォルダ」になっているので、「フォルダオプション」で表示しないと見えません。

要は、「MBRを改変して寄生し、電源ONでメモリ上にロードされるタイプのウィルス。その種のウィルスの中の一部は、HDDのトラックの一部分をフォーマットしてしまいますよ。」ということでしょう。

お礼

回答ありがとうございます

>また、「隔離」は「駆除」出来ないからというより、誤検知したウィルスでないファイルを元に戻せるようにという目的の機能です。
>よって、まずは自動的に「隔離」され、そのファイルが不要なものであればユーザーが「駆除」を実行する、という流れになっています。

余談ですが、McAfeeがトロイの木馬と認識すると自動で削除されるようです（実体験）。