Loading article…
コンピュータワームは、他のコンピュータに拡散するために自己複製するスタンドアロンのマルウェアコンピュータプログラムです。 [ 1 ]ワームは、多くの場合、コンピュータネットワークを使用して拡散し、ターゲットコンピュータのセキュリティ上の欠陥を利用してアクセスします。ワームはこのマシンをホストとして使用し、他のコンピュータをスキャンして感染します。これらのワームに感染した新しいコンピュータが制御されると、ワームはこれらのコンピュータをホストとして使用して他のコンピュータをスキャンして感染し続け、この動作が続きます。[ 2 ]コンピュータワームは、ホストプログラムなしで自己複製するために再帰的な方法を使用し、指数関数的成長の利点を利用して自己拡散し、短時間でますます多くのコンピュータを制御して感染します。[ 3 ]ワームは、帯域幅を消費するだけでも、ネットワークに少なくとも何らかの損害を与えることがほとんどですが、ウイルスは、ターゲットコンピュータ上のファイルを破損または変更することがほとんどです。
多くのワームは拡散することだけを目的として設計されており、通過するシステムを変更しようとはしません。しかし、MorrisワームやMydoomが示したように、こうした「ペイロードのない」ワームでさえ、ネットワークトラフィックの増加やその他の意図しない影響によって、大きな混乱を引き起こす可能性があります。
史上初のコンピュータワームは、一般的に、1971年にBBNのレイ・トムリンソンとボブ・トーマスによってARPANET全体に自己複製するために作成されたCreeperの自己複製バージョンであるとされている。[ 4 ] [ 5 ]トムリンソンはまた、Creeperプログラムを削除するReaperという最初のアンチウイルスソフトウェアも考案した。
「ワーム」という言葉がこの意味で初めて使われたのは、ジョン・ブルナーの1975年の小説『ショックウェーブ・ライダー』である。この小説の中で、ニコラス・ハフリンガーは、国民を画一化させる国家的な電子情報ネットワークを運営する権力者たちへの復讐として、データ収集ワームを設計し、稼働させる。「史上最大のワームがネットに放たれ、監視しようとするあらゆる試みを自動的に妨害する。これほど頑丈な頭と長い尾を持つワームはかつて存在しなかった！」[ 6 ]「その時、彼は答えに気づき、思わず笑いそうになった。フラックナーは、昔ながらの手口に頼り、大陸のネットワークに自己増殖するサナダムシを放ったのだ。おそらく大手企業から『借りた』告発グループが率いており、彼のクレジットカードコードがキーボードに入力されるたびに、サナダムシは次々と拠点を移していく。そのようなサナダムシを駆除するには数日、場合によっては数週間かかることもある。」[ 6 ]
ゼロックスPARCは1979年に分散コンピューティングのための「ワーム」プログラムの使用を研究していた。[ 7 ]
1988年11月2日、コーネル大学のコンピュータサイエンスの大学院生であったロバート・タッパン・モリスは、後にモリスワームとして知られることになるマルウェアをばらまき、当時インターネットに接続されていた多くのコンピュータを混乱させた。当時、その数はインターネットに接続されているコンピュータ全体の10分の1と推定されていた。[ 8 ]モリス控訴審の過程で、米国控訴裁判所は、各インストールからワームを除去する費用を200ドルから53,000ドルと見積もった。この作業が、CERT調整センター[ 9 ]とPhageメーリングリスト[10]の設立につながった。モリス自身は、1986年のコンピュータ詐欺および濫用法に基づいて裁判にかけられ、有罪判決を受けた最初の人物となった。[ 11 ]
Conficker は、2008 年に発見されたコンピュータ ワームで、主にMicrosoft Windowsオペレーティングシステムを標的としており、ローカル プロービング、ネイバーフッド プロービング、グローバル プロービングという 3 つの異なる拡散戦略を採用しています。[ 12 ]このワームはハイブリッド エピデミックとみなされ、数百万台のコンピュータに影響を与えました。「ハイブリッド エピデミック」という用語は、コード解析によって発見された、拡散に使用した 3 つの異なる方法に由来しています。[ 13 ]
独立
コンピュータウイルスは一般的にホストプログラムを必要とします。[ 14 ]ウイルスはホストプログラムに自身のコードを書き込みます。プログラムが実行されると、書き込まれたウイルスプログラムが最初に実行され、感染と損害を引き起こします。ワームは独立したプログラムまたはコードチャンクであるため、ホストプログラムを必要としません。したがって、ホストプログラムに制限されず、独立して実行され、積極的に攻撃を実行できます。[ 15 ] [ 16 ]
エクスプロイト攻撃
ワームはホストプログラムに制限されないため、オペレーティングシステムのさまざまな脆弱性を悪用してアクティブな攻撃を実行できます。例えば、「Nimda」ウイルスは脆弱性を悪用して 攻撃を行います。
複雑
ワームの中には、ウェブページのスクリプトと組み合わされ、VBScript、ActiveX 、その他の技術を使用してHTMLページに隠されているものもあります。ユーザーがウイルスを含むウェブページにアクセスすると、ウイルスは自動的にメモリに常駐し、起動されるのを待ちます。また、「 Code Red 」などのバックドアプログラムやトロイの木馬と組み合わされたワームもあります。[ 17 ]
伝染性
ワームは従来のウイルスよりも感染力が強い。ローカルコンピュータだけでなく、ローカルコンピュータを基盤とするネットワーク上のすべてのサーバーとクライアントにも感染する。ワームは共有フォルダ、電子メール[ 18 ]、悪意のあるウェブページ、ネットワークに多数の脆弱性を持つサーバー[ 19 ]などを介して容易に拡散する。
ワームを拡散する以上のことを行うように設計されたコードは、通常「ペイロード」と呼ばれます。典型的な悪意のあるペイロードは、ホストシステム上のファイルを削除したり（ExploreZipワームなど）、ランサムウェア攻撃でファイルを暗号化したり（ WannaCryワームなど）、機密文書やパスワードなどのデータを抜き取ったりする可能性があります。 [ 20 ]
ワームの中にはバックドアをインストールするものもあります。これにより、ワームの作成者はコンピュータを「ゾンビ」として遠隔操作できるようになります。このようなマシンのネットワークはボットネットと呼ばれることが多く、スパムの送信やDoS攻撃の実行など、さまざまな悪意のある目的で非常によく使用されます。[ 21 ] [ 22 ] [ 23 ]
一部の特殊なワームは、産業システムを標的とした攻撃を行います。Stuxnetは、主に LAN や感染した USB メモリを介して拡散しました。これは、標的がインターネットなどの信頼できないネットワークに接続されていなかったためです。このウイルスは、世界中のさまざまな国の化学、発電、送電会社で使用されているコア生産制御コンピュータ ソフトウェアを破壊する可能性があります。Stuxnet の場合、イラン、インドネシア、インドが最も大きな被害を受けました。このウイルスは、工場内の他の機器に「命令」を発行し、それらのコマンドが検出されないように隠蔽するために使用されました。Stuxnet は、複数の脆弱性と 4 種類のゼロデイ攻撃 (例:Windows システムや Siemens SIMATICWinCCシステムで、産業機械の組み込みプログラマブルロジックコントローラを攻撃します。これらのシステムはネットワークとは独立して動作しますが、オペレーターがウイルスに感染したドライブをシステムの USB インターフェイスに挿入すると、ウイルスは他の操作要件やプロンプトなしにシステムを制御できるようになります。[ 24 ] [ 25 ] [ 26 ]
ワームはオペレーティングシステムの脆弱性を悪用して拡散します。 セキュリティ上の問題を抱えるベンダーは定期的にセキュリティアップデート[ 27 ]（「パッチチューズデー」を参照）を提供しており、これらがマシンにインストールされていれば、ほとんどのワームはそのマシンに拡散できません。ベンダーがセキュリティパッチをリリースする前に脆弱性が明らかになった場合、ゼロデイ攻撃が発生する可能性があります。
ユーザーは予期しないメールを開く際には注意する必要があり、[ 28 ] [ 29 ]添付ファイルやプログラムを実行したり、そのようなメールにリンクされている Web サイトにアクセスしたりしてはいけません。しかし、ILOVEYOUワームの場合と同様に、フィッシング攻撃の増加と効率化に伴い、エンド ユーザーを騙して悪意のあるコードを実行させることは依然として可能です。
ウイルス対策ソフトやスパイウェア対策ソフトは有効ですが、少なくとも数日ごとに新しいパターンファイルで更新する必要があります。ファイアウォールの使用も推奨されます。
ユーザーは、コンピュータのオペレーティングシステムやその他のソフトウェアを最新の状態に保ち、認識できないメールや予期しないメールを開かないようにし、ファイアウォールとウイルス対策ソフトウェアを実行することで、ワームによる脅威を最小限に抑えることができます。[ 30 ]
緩和策には以下が含まれます。
感染は、その挙動によって検出されることがある。通常、インターネットをランダムにスキャンして、感染させる脆弱なホストを探している。[ 31 ] [ 32 ]さらに、機械学習技術を使用して、疑わしいコンピュータの挙動を分析することで、新しいワームを検出できる。[ 33 ]
有用なワームまたはアンチワームとは、実行中のコンピュータの所有者の許可を必ずしも得ているわけではないが、作成者が有用だと考えることを実行するように設計されたワームのことである。ゼロックスPARCでのワームに関する最初の研究以来、有用なワームを作成しようとする試みが行われてきた。これらのワームにより、ジョン・ショックとジョン・ハップは、ゼロックスAltoコンピュータのネットワーク上でイーサネットの原理をテストすることができた。[ 34 ]同様に、Nachiファミリーのワームは、同じ脆弱性を悪用してホストシステムの脆弱性を修正するために、マイクロソフトのWebサイトからパッチをダウンロードしてインストールしようとした。[ 35 ]実際には、これによりこれらのシステムはより安全になったかもしれないが、相当なネットワークトラフィックが発生し、パッチ適用中にマシンが再起動され、コンピュータの所有者またはユーザーの同意なしに作業が行われた。このアプローチのもう1つの例は、Roku OSがスクリーンセーバーチャンネルのアップデートを介してRoku OSをルート化できるバグを修正したことで、スクリーンセーバーがtelnetに接続してデバイスにパッチを適用しようとしたことです。[ 36 ]ペイロードや作成者の意図に関係なく、セキュリティ専門家はすべてのワームをマルウェアとみなしています。
ある研究では、 OSI モデルの第 2 層(データ リンク層)で動作する最初のコンピュータ ワームが提案されており、スイッチに格納されているコンテンツ アドレス可能メモリ(CAM) テーブルやスパニング ツリー情報などのトポロジー情報を利用して伝播し、脆弱なノードをプローブして企業ネットワーク全体をカバーします。[ 37 ]
アンチワームは、 Code Red、[ 38 ] Blaster、およびSantyワームの影響に対抗するために使用されてきました。Welchiaは、役立つワームの一例です。[ 39 ] Blaster ワームが悪用したのと同じ欠陥を利用して、Welchia はコンピュータに感染し、ユーザーの同意なしにWindows用のMicrosoftセキュリティ更新プログラムを自動的にダウンロードし始めました。Welchia は、更新プログラムをインストールした後、感染したコンピュータを自動的に再起動します。これらの更新プログラムの 1 つは、エクスプロイトを修正するパッチでした。[ 39 ]
他にも役立つワームの例としては、「Den_Zuko」、「Cheeze」、「CodeGreen」、「Millenium」などがある。[ 39 ]
アートワームは、大規模で一時的なアート作品の制作においてアーティストをサポートします。感染したコンピュータをアート作品に貢献するノードに変えます。[ 40 ]
[...]あるマシンから別のマシンへの転送は、
Creeper
プログラムの実験につながり、世界初のコンピュータウイルスとなった。Creeperは、ネットワークを使用して別のノードで自己複製し、ノードからノードへと拡散する計算である。Creeperのソースコードは未だ不明である。