バックドアに感染？

Question

バックドアの対策について教えて下さい。
私はアンチウイルスソフトとして、Microsoft Security Essentials（MSE）を使っているのですが、本日、MSEを開いたところ、「履歴」タブに２つのバックドアが検疫されていることが分かりました。
（検疫：実行しないように指定されたが、PCから削除されていない項目）

MSEは常時監視モードにしているのですが、今回手動で開く前には一切アラーム等は発生しませんでした。

検疫されていたファイルは外部からダウンロードしたソフト名が記されていたので、そのソフトから感染したものと思われます。

バックドアであることは確認したのですが、ビックリしたものですから、直ぐに検疫されたファイルを削除してしまい、バックドアの種類は記憶しておりません。
その後、バックドアの恐ろしさをネット検索で知り、当該パソコンはネットから切り離しました。
（今は別のパソコンから質問を書いております）
しかし、誤検出の場合も結構ある、という情報もあり、何をどこまで対策していいのか分からない状態です。

そこで、質問なのですが、MSEで検疫状態になっていても、やはりバックドアに感染したものとして考えるべきなのでしょうか？また、バックドアの種類や各種情報を確認したいと思っているのですが、MSEに過去に削除したウイルス等を検索する機能はあるのでしょうか。
（ネットで調べたのですが、情報が見つかりませんでした）
特に、前者の質問（検疫状態と感染の関連）について知りたいと思います。

その他、何かしら参考となる情報がありましたら、ぜひ教えて下さい。

よろしくお願い致します。

nekobox · Accepted Answer

nekoboxです。

処理済ですから特にすることないです。

あとは先に私が示した「基本重要対策」守るように。MSEのような単体アンチマルウェアだけじゃ乗り切るの厳しいです。

---------
FEX2053が追加返答しなかったらとんだ知ったかってことになるよねｗ。こりゃ見物だわｗ。

nekobox · Answer

>もともと、セキュリティホールなんてバックドアが作っているものだから、
本体を削除してしまえば、問題ない

はい、その通りです。

ただ、本来セキュリティーホールと言ったら一般的にはOSやアプリケーションソフトのプログラムにおけるセキュリティー上の欠陥を意味します。拡大解釈でバックドアによる侵入口もセキュリティーホールと言えばそうかもしれませんが、第一義的にはプログラムにおけるセキュリティー上の欠陥を意味します。

ちなみに、バックドアというのはクラッカーがセットするその名の通り裏口ですが、裏口と言ったって当然ながら物理的に通用口を設けるとかではなく、ネットワーク通信におけるコネクションの確保ですよね。コネクションというのは仮想通信経路です。

で、最近のバックドアによるコントロールでは実はクラッカー側からターゲットマシン(感染マシン)に接続しに行くわけではないんです。こうした順方向接続ではルータなどで弾かれてしまう可能性が高いからです。そこで、ターゲットマシンからクラッカーサイドのマシンに接続しにいくリバース接続を行うのが一般的になっています。これですと、ターゲットマシン側から見るとアウトバウンド通信になるのでルータを容易に通過できます。一般的にルータではアウトバウンドは素通しがほとんどです。

それと、私が先に示したURL先の内容は読めばわかります。

---------
ちなみに、#4さんは今回の事案がステルス(Rootkit)絡みだと何故判断できたのでしょうか。不思議です。ルートキットスキャンをスレ主に勧められて何かしら結果が得られたとかならともかくね。Hidden Objectのからくりとかご存知ならどうぞスレ主さんを導いてやって下さいなｗ。

FEX2053 · Answer

#2さんの言われるように「再セットアップ」は必須では無いです。

ただ、この手のバックドアを仕掛けるプログラムは、確かにOSに
影響は与えずに単独で動作はしますが、ステルス機能があって、
普通に検索して見つかるものじゃないんです。セキュリティソフトの
「駆除」「隔離」が信用できないなら、#2/3さんのような、その手の
「知識」と「スキル」が無いと、簡単には削除できません。

実際、一旦PCに潜り込むと、その手のウイルスは、その後にイン
ストールしたセキュリティソフトでは検索できないような仕掛けを
施しますからね。OSの検索なんぞ、誤魔化すのは当然です。

ということで、「そこまでする必要は無い」事は確かなのですが、
「何も考えず再セットアップするのが、素人には結局速くて確実」
なんです。逆に言えば、再セットアップせずに頑張るには、それ
なりの勉強と調査が必要ですよ・・・ということでもあります。

・・・少なくとも、#2/3さんの挙げたURLは理解できないと（苦笑）

nekobox · Answer

すいません、nekoboxです。

あの、私つい最近MSEテストしてて気づいたんですけど、クラッカーはいつも言ってるように対策ソフト対策してくるわけですが、

MSEは下の画像で示す難読化ツールを使った難読化にまったく対抗できないようですね。ちなみに最新verですけど。このツールその筋の世界ではかなり有名なものでして現在でも継続的にアップデートされてるようです。

こういうのは実際に自分でやってみるとわかります。本当に検出されなくなるかどうかね。もちろん、固有名詞はお教えできませんが。

で、私がいつも言ってるように、今はもう単体アンチマルウェアソフトだけではどうにも対抗できないですよ。マルチエンジンのスキャン回避も難しくなくなってますので。

[重要基本対策]

http://www.forest.impress.co.jp/lib/inet/security/antiadspy/secuniapsi.html

http://support.microsoft.com/kb/2458544/ja

Microsoft Update

ブロードバンドルータの使用

有力総合対策ソフトの使用(include HIPS or Behavior Blocker)

クリーン状態のシステムバックアップを定期的に取る

JRE(Java Runtime Environmen)をインストールしてたら即刻アンインストール

※
今は脆弱性を放置しておくと、普通にWeb見るだけで感染する可能性あります。←この認識が無いひとはネット使うべきではないと言えるほど重要。

http://itpro.nikkeibp.co.jp/article/COLUMN/20120817/416402/

nekobox · Answer

こんにちは。

>MSEで検疫状態になっていても、やはりバックドアに感染したものとして考えるべきなのでしょうか？

いえ、感染はしていません。#1が言うような再セットアップなんて必要ないです。

で、別にバックドアはOSに取り付くわけではありません。単にOS上で動くプログラムです。

あと、↓

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Search.aspx?query=backdoor

FEX2053 · Answer

バックドアを仕掛ける広義のウイルスは世界中に蔓延しており
それが「検疫」されたからと言って、即「感染」ではありません。
多くはセキュリティソフトで弾かれてしまうんです。

また、最近はしばしば「誤検出」もあり、検出されたからと言って
それが「ウイルス」であるかどうかも定かではないですし、最近
の悪質なウイルスは、あなたの情報ではなく、あなたを踏み台
にして、他の「お金がある所」にアクセスするだけ、って場合が
普通で、何かするまでに時間差がある事が多いんです。

MSEは、検出力がそれほど高くないセキュリティソフトですが、
まずは「検疫」されたソフトの種類をチェックし、それがどの程度
問題があるものか確認された方が良いですよ。「バックドアを
仕掛けるウイルスが混ざっている場合がある」だけのことも結構
多いんですから・・・。

ということで、９０％位の確率でそれは「ウイルスが正常に弾か
れた」だけだと思います。

気になるなら、データを退避して再セットアップすれば、最近の
ウイルスはすべて消えてしまいます。下手にＯＳに取り付いて
ＰＣを不調にすると「踏み台」の役目を果たしてくれませんから。

ちなみにMSEの検出ログは、イベントビューワーに残ってた記憶
があるんですが、これ、チェックが大変なんですよね・・・。

バックドアに感染？

nekoboxです。

この回答への補足

>もともと、セキュリティホールなんてバックドアが作っているものだから、

この回答への補足

#2さんの言われるように「再セットアップ」は必須では無いです。

この回答への補足

すいません、nekoboxです。

こんにちは。

この回答への補足

バックドアを仕掛ける広義のウイルスは世界中に蔓延しており

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング