仮想マシンと連動してクローリング

「あえて感染」してWeb感染型ウイルスを発見、FFR

2009/10/09

　フォティーンフォティ技術研究所は10月1日より、脆弱な状態の仮想PCからWebサイトを巡回し、ウイルスを能動的に発見するシステム「Origma＋」の販売を開始した。

　Origma＋は、Webを介して感染するウイルスの発見に特化した、仮想マシンと連動して動作するクローリングシステムだ。仮想マシン上にウイルスに感染しやすい脆弱な環境を構築し、指定されたWebサイトにアクセスする。もし当該Webサイトに悪意あるコードが仕掛けられている場合は、あえてマルウェアに感染して検体を収集し、独自開発のウイルス検知エンジンによって解析を行う。

　パターンファイル照合では検出が困難な未知のウイルスについても、「FFR yarai」にカスタマイズを加えた独自の振る舞い検知エンジンにより発見可能なことが特徴だ。また、検体確保と同時にWebサイト管理者に通知することで、Webページの閉鎖やパスワード変更といった対策を迅速に行えるようになるという。

　近年は、クライアントOSの脆弱性を直接狙う攻撃に代わり、SQLインジェクションなどによって正規のWebサイトを改ざんして悪意あるコードを埋め込み、そこにアクセスしてきたユーザーのPCに感染を広めるタイプの攻撃が増加している。Origma＋は、自らマルウェアに感染することでこうした攻撃を見つけ出す仕組みで、同社はこれを、被害発生を待ち受けるハニーポットとは異なる「人柱型アクティブハニーポット」と表現している。

　検体収集の際には、マルウェアのターゲットとなるWebブラウザやプラグイン、アプリケーションを指定することができる。最初に収集された検体が、ほかのマルウェアをダウンロードしてくる「ダウンローダ」である場合は、それを自動実行し、二次的、三次的にダウンロードされるマルウェアも蓄積していく。並列処理により、1台当たり最大で1日1万URLの巡回が可能だ。

　なお「Origma」とは、ムシクイ鳥の学名。ネットワークに巣くうマルウェアを「虫」に見立て、それを能動的に捕獲することから名付けたという。

　価格体系は「永久ライセンス」と「月額ライセンス」の2系統があり、月額ライセンスの場合は1台当たり12万5000円から、初期費用が10万円。永久ライセンス初年度サポート込みで1台当たり250万円で、2年目からの保守料金は50万円となっている。