Manahan0サイバー犯罪者は、検出を回避することにかけては、間違いなく才能があります。トレンドマイクロでは、セキュリティ対策製品などを回避する手法が改良された不正プログラムの事例をこれまでに何度も確認してきました。解析ツールの実行を阻止したり、デバッガ機能を阻止、また通常のネットワークトラフィックに紛れ込ませたり、JavaScriptを利用したさまざまな回避手法などです。2014年1月、セキュリティ対策製品を回避するために正規のデータ圧縮技術を利用した、不正プログラムの確認が報告されました。存在する脆弱性「CVE-2013-5331」を利用します。Flashファイルを埋め込んだ文書ファイルです。Algorithm(LZMA)」という圧縮アルゴリズムを用いて、ファイル内情報を損失することなくデータを圧縮する技術です。弊社では、この不正プログラムが、どのようにこの正規の技術を悪用したかを検証しました。圧縮された不正プログラムのコードを示しており、圧縮することで不正プログラム自身の検出を回避します。弊社では、この不正ファイルを解凍するために、オブジェクト指向スクリプト言語「Python」で作成された「SWFCompression」を利用しました。アクセスできなくなっており、ここからダウンロードされると思われる不正プログラムを入手することができませんでした。示すように、「TROJ_SHELLCOD.A」は不正プログラムを実行するために、さまざまな手法を利用します。不正プログラムは、通常、ダウンロードされて実行します。自身のコピーが作成されるということです。そのため、セキュリティ対策製品による不正プログラム検出が可能となります。今回の不正プログラムは、実行コードからVirtualAlloc関数を利用して、ダウンロードされるはずの不正プログラムをメモリ上に割り当て、バックドア型不正プログラムのように、不正プログラムを実行します。物理的に作成されるファイルがなく、その代わりに不正プログラムが直接メモリにコピーされます。そのため、不正プログラムの活動を追跡するのがより難しくなります。ZWS圧縮の検出サポートをしていたとしても、ほとんどのセキュリティ対策製品がこの不正プログラムを検出できないのは、こうした理由からです。ユーザは、セキュリティ更新プログラムが公開され次第、インストールすることをお勧めします。更新プログラムにより、感染を防ぎ、自身を保護することができます。Adobeは、2013年12月に今回の攻撃に利用された脆弱性の修正プログラムを公開しています。Network」によって守られています。サイトへのアクセスをブロックします。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。