Rustでコンパイルしたファイルが感染と判断される

質問

スーパーセキュリティでRust言語のコンパイルしたファイル（main.exe)がGen:Variant.Bulz.485978に感染と判断され隔離場に移動になってしまいます。コンパイル後のファイル名をmain.exeではなく、test_cargo.exeなどにすると感染とはならないのですが、正しい検出なのでしょうか？

※OKWAVEより補足：「ソースネクスト株式会社の製品・サービス」についての質問です。

回答No.1

兼元 謙任（@kanekaneto） · ベストアンサー

専門家ではありません。

まずは、ウイルス対策ソフトがウイルスを検知している仕組みがわかると、理解しやすいかもしれません。

マルウェアや既存の感染したファイルのデータのパターンの「シグネチャ」と照らし合わせる訳ですが、ファイル名もそのパターンの一部と見ている可能性があるかもです。ファイル名を変えたら、判断が変わる可能性があるかもしれません。
ウイルスの目的にもよりますが、アプリの起動などの家庭に感染して、データをどこかに送信するなどという場合は、特定ファイル名のデータが狙われるということも考えられるからです。

また、このパターンは、ファイル名などの単体ではなく、総合的な関係性の中で、人間では判断できない類似性を見るものもあるようです。

今回感染した疑いがありそうならば、それば駆除するとか、削除するとか、より大きなネットワークを守るためなら、ネットワークから切り離すとか、対策をした方が良いと思います。

”ウイルス検知の方法は「パターンマッチング」と「パターンマッチング以外の手法」に大別することができます。”
”パターンマッチングとは、マルウェアや感染したファイルに見られるデータのパターンをデータベース化し、コンピュータ上のファイルに同様のデータパターンがないかスキャンを行って確認する方法です。”
https://securitynews.so-net.ne.jp/topics/sec_20082.html

”従来のワクチンソフトが採用している単純な定義ファイルとの比較を主としたパタ ... などし、その挙動を監視してウイルスかどうかを判断しなければならないだろう。”
https://www.ipa.go.jp/security/fy15/reports/uvd/documents/uvd_report.pdf

”現在、悪意あるファイルを検知するには、シグネチャだけではとても間に合いません。マルウェアを作成する人々は、検知されないように、マルウェアの痕跡をあの手この手で隠そうとします。このため、今どきのアンチウイルス製品は、さらに高度な検知方法を採用しています。定義データベースに登録されている項目の大半は今でもシグネチャですが（全項目の半分以上）、もっと高度な項目も定義データベースには含まれています。

これらの項目は、習慣的に、まとめて「シグネチャ」と呼ばれています。そのこと自体に問題はありません。ただ、この用語は堅牢な検知システムを構成するテクノロジーをひとくくりで表現したものである、ということを覚えておいてください。

理想を言えば、定義データベース内の項目をどれでも構わず「シグネチャ」と呼ぶのを止めたいところですが、あまりにも定着している上に、より的確な用語がまだないので、習慣的な使い方が続いています。”
https://blog.kaspersky.co.jp/signature-virus-disinfection/12878/

（画像引用）
https://www.silhouette-ac.com/category.html?sw=%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%BD%E3%83%95%E3%83%88

こちらも参考に！
「ウイルス対策ソフト」「感染したファイル」「対処」に関する質問と回答
https://okwave.jp/search?word=%E3%82%A6%E3%82%A4%E3%83%AB%E3%82%B9%E5%AF%BE%E7%AD%96%E3%82%BD%E3%83%95%E3%83%88%E3%80%80%E6%84%9F%E6%9F%93%E3%81%97%E3%81%9F%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%80%80%E5%AF%BE%E5%87%A6

良い方向に進みますように！

参考になれば幸いです。