現在地 HOME > 掲示板 > IT7 > 202.html ★阿修羅♪ |
|
Tweet |
(回答先: インターネット上の新たな脅威「ボット(bot)」に気をつけろ!(上)【ITPro】 投稿者 バルタン星人 日時 2004 年 12 月 20 日 07:42:23)
インターネット上の新たな脅威「ボット(bot)」に気をつけろ!(上)
http://itpro.nikkeibp.co.jp/free/ITPro/OPINION/20041215/153889/index2.shtml
“機能面”ではウイルスと同じに
名前の由来の通り,ボットはマシンを操ること(攻撃者がそのマシンを操れるようにすること)が主な目的である。従来のウイルスのように感染を広げることが主目的ではない。操るのが第一,感染は二の次だった。そのため,出現当初は「有用なファイルに見せかけてインストールさせたり(いわゆる「トロイの木馬」),ネットワーク共有で感染を広げたりするだけのボットが多かった」(セキュアブレインの星澤氏)。
“大々的”に感染を広げないようにして,ユーザーにばれないようにするという目的があったのかもしれない。「ユーザーに気付かせないことが,ボットの特徴の一つ。気付かせなければ,長期間稼働していられる」(トレンドマイクロの岡本氏)
だが,ある程度は感染を広げないと,“強力な”ボットネットを構成できない。そこでボット作者は,従来のウイルスの感染メカニズムを取り入れ始めた。具体的には,「内蔵するリスト(辞書)を基に,ログイン・パスワードなどを破って侵入,感染する」「Windowsなどのセキュリティ・ホールを突いて侵入,感染する」――といった感染メカニズムを備えるボットが一般的になってきた。こうなると,その悪質なプログラムは,ウイルスでもあり,ボットでもある。
一方,従来のウイルスも,ボットの一般的な“機能”を備え始めた。「バックドアを開いて,攻撃者の命令のままに動作する」機能を備えたウイルスは,現在では多数出現している。マス・メーリング型の“代表選手”であるNetskyやMydoomなどの変種にも,これらの機能を備えたものが多い。
「外部からの命令に従って動作をするプログラムを『ボット』と定義すれば,NetskyやMydoomの変種もボットの一種と呼べるだろう」(星澤氏)。もはや機能面では,ボットなのか,ウイルスなのか区別はできない。「ボット作者もウイルス作者も,自分たちにとって“有用な機能”はどんどん取り入れるので,両者の違いはなくなってきている」(岡本氏)
いかにも“ボット”と思われる名前を付けた悪質なプログラムもある。「Spybot」や「Gaobot(Agobot)」,「Rbot」などである。前述のように「IRC Bot」というものもある。これらはあくまでもオリジナルが“純粋な”ボットであることを示すだけ,元々どのコード(ソース)に由来しているかを示すだけである。機能で区別しているわけではない。ちなみに,ボットに由来していても“ボットらしい”名前が付いていない場合もある。「Randex」などは代表的なボットの一つだが,「bot」という文字列を含まない。
なお余談ではあるが,代表的なスパイウエア対策ソフト「Spybot-S&D(Spybot Search&Destroy)」と,前述のSpybotは当然のことながら全くの別物である。しかしながら,Spybot-S&D は“S&D(Search&Destroy)”の部分が省略されて,“Spybot”と呼ばれる場合があるので,混同しないように注意したい。 Spybot-S&Dは対策ソフトであり,悪質なプログラムではない(関連記事)。
さて,「機能面で違いがないのなら,“ボット”をあえて区別して考える必要はないだろう」――。そう思われる方は少なくないだろう。確かに,機能面では違いはほとんどなくなってきている。だが,依然大きな違いがある。ほとんどのボット――正確には,「“純粋な”ボットに由来する悪質なプログラム」あるいは「ボット系プログラム」とでも呼ぶべきか――は,そのソース・コードが公開されている。このため,通常のウイルスとは比較にならないペースで,新しい変種/亜種が出現しているのだ。
明日は引き続き,従来のウイルスにはなかったボットの新たな脅威と,それに対する防御策を述べさせていただきたい。