コンピュータウイルス.

コンピュータウイルスは、正規の実行ファイル・文書・ブートセクタなどに自分のコードを付加して伝播するマルウェアである。ワームと異なり、文書を開く、プログラムを実行する、感染メディアから起動するといった利用者の操作を必要とする点が特徴である。実行されるとデータの破壊、追加ペイロードのインストール、情報窃取、リソース消費などを引き起こす可能性がある。

感染の仕組み

ファイル感染型ウイルスは宿主プログラムを改変し、本来のエントリポイントに達する前にウイルスコードへ制御が渡るようにする。代表的な手口には、ペイロードを実行ファイルの末尾に追記してエントリポイントを書き換える方式、先頭に前置する方式、ファイル内の未使用領域にコードを潜ませる空洞感染がある。常駐型ウイルスはメモリに常駐し、ファイルが開かれるたびに感染させる。一方、ポリモーフィック型やメタモーフィック型のエンジンは世代ごとにペイロードを変異・再暗号化し、静的シグネチャを無効化するため、ウイルス対策ベンダーはヒューリスティック検知や振る舞い検知へと移行している。

実際の事例

Brain ウイルス(1986 年 1 月)はパキスタンの兄弟が作成し、最初の PC ウイルスとされる。IBM 互換機のフロッピーのブートセクタを上書きした。Melissa(1999 年)は初めて広範に拡散した Word マクロウイルスで、Outlook アドレス帳の先頭 50 件に自身を送信し、約 8000 万ドルの被害をもたらした。続いて ILOVEYOU(2000 年)や CIH/チェルノブイリ が現れ、後者は BIOS フラッシュを上書きすることさえできた。

防御策

現代の対策には、振る舞い分析を備えたアンチマルウェアの更新、未署名の Office マクロの既定での無効化(Microsoft は Mark-of-the-Web が付いたファイルのマクロをブロックするようになった)、アプリケーション許可リスト、最小権限アカウント、迅速なパッチ適用が含まれる。

flowchart TD
  A[利用者が感染ファイルを開く<br/>またはプログラムを実行] --> B[宿主のエントリポイント前に<br/>ウイルスコードが実行]
  B --> C{未感染の宿主を探索}
  C -->|宿主を発見| D[コピーを付加/注入<br/>追記・前置・空洞]
  D --> E[ペイロードを変異<br/>ポリモーフィックエンジン]
  E --> C
  C -->|発動条件を満たす| F[ペイロード実行<br/>データ破壊/マルウェア投下]
  B --> G[宿主へ制御を返却<br/>プログラムは正常に動作]