JP2001508564A - マクロ中のウイルスの検出および除去のためのシステム、装置および方法 - Google Patents

Abstract

(57)【要約】 マクロの中のウイルスの検出および除去を開示している。マクロウイルス検出モジュール（２０６）はマクロ位置特定および復号化モジュール（３０２）と、マクロウイルス走査モジュール（３０４）と、マクロ処置モジュール（３０６）と、ファイル処置モジュール（３１０）と、ウイルス情報モジュール（３０８）とを含む。マクロ位置特定および復号化モジュール（３０２）は、対象ファイルがマクロを含むか否かを判定し、マクロ有りの場合にそのマクロを位置特定して復号化ずみマクロを生ずるように復号化する。マクロウイルス走査モジュール（３０４）は復号化ずみマクロにアクセスし、そのマクロがウイルスを含むか否かを判定するようにそのマクロを走査する。未知のマクロウイルスの検出は、マクロウイルス走査モジュール（３０４）が、ウイルス情報モジュール（３０８）からの命令識別子組含有比較データの取込みおよび前記命令識別子対応の容疑命令組合せの前記復号化ずみマクロにおける含有の有無の判定に基づいて行う。マクロ処置モジュール（３１０）は前記比較データを用いて前記復号化ずみマクロの中で容疑命令を位置特定し、その容疑命令を除去して処置ずみマクロを生ずる。ファイル訂正モジュール（３１０）は、汚染マクロ含有の対象ファイルにアクセスし、マクロ処置モジュール（３０６）からの処置ずみマクロでその汚染マクロを置換する。

Description

【発明の詳細な説明】 マクロ中のウイルスの検出および除去のための システム、装置および方法 発明の背景 発明の技術分野 この発明は概括的にはコンピュータファイルの中のウイルスの検出および除去 に関する。 関連技術の説明 コンピュータ利用の普及および莫大な数のコンピュータ相互間の通信の拡大は コンピュータウイルスの広がりを著しく容易にし助長してきた。コンピュータウ イルスはコンピュータプログラムの中に埋め込まれたコードの種々の部分に見出 される。ウイルスに感染したプログラムが実行されると、それらコード部分が活 性化されて、コンピュータシステムに意図しない、場合によっては有害な動作を 生じさせる。 ウイルスの検出は通常シグネチャ走査手法を用いて行う。既知のウイルスのた めに、ウイルス検出に使用可能な指紋同等のストリングまたはシグネチャが長く なった。シグネチャ走査では実行可能なファイルシーケンスを走査して、ウイル スとして既知のストリングに合致する延長ストリングを含むか否かを調べる。そ の実行可能なファイルの中に上記シグネチャまたはストリングが見出されると、 積極的ウイルス判定を行う。既知のパターンとのマッチングを伴うので、パター ンの特定されていないウイルスに対してはシグネチャ走査手法はほとんど役に立 たない。とくに、新しい未知のウイルスの種類の検出はシグネチャ走査手法には 全く不可能であり、複製の際に多様な形状および形式を意図的にとる突然変異性 ウイルスに対しては十分な保護を提供できない。また、実行可能なファイル（例 えば拡張子.exeまたは.comつきのファイル）も通常走査されるので、それらファ イルの中にないウイルスは検査されず、したがってシグネチャ走査では検出され ない。 多数のアプリケーションプログラムが、動作の長いシーケンスまたは反復シー ケンスの自動的遂行のためのマクロの使用をサポートしている。マクロは、メニ ュー選択やキー押下や蓄積され名称またはキーの割当てを受けるコマンドなどの 一連の命令である。マクロは、アプリケーションプログラムによってキーの押下 げまたはマクロ名称の呼出しに応答して起動できる。アプリケーションデータフ ァイルに埋め込まれていて、ユーザから隠れた状態に留まるマクロもある。また 、マクロはユーザからの入力なしに自動的に実行するようにすることもできる。 すなわち、ユーザに知られる必要がなくユーザによる始動を必要としないマクロ がアプリケーションデータファイルなどのファイルに常駐することがあり得る。 ある種のウイルスはマクロに常駐し、マクロ命令を用いて想定外の有害な動作を 行う。それらのウイルスをマクロウイルスと呼ぶ。マクロウイルスの一つの問題 は、実行可能なファイルには通常は常駐しないので実行可能なファイルスキャナ ーを避けることである。また、マクロウイルスはアプリケーションデータファイ ルなどのファイルの中に隠されたり埋め込まれたりされ得るので、検出を免れる 。さらに、マクロプログラム用言語の使い方を知っているコンピュータユーザは 多数にのぼるので、マクロウイルスの数と多様性は極めて大きい。したがって、 マクロの中のウイルスの検出にシグネチャ走査手法を用いても、多数の未知のマ クロウイルスがあるので効果がない。また、網羅的シグネチャスキャナーを使え たとしても、新たな未知のマクロウイルスの発生が継続するのでそのスキャナー はすぐ陳腐化する。 慣用のウイルス除去手法もウイルス感染マクロの処置には不十分である。それ ら慣用の手法は特定の既知のウイルスを探索し、その探索により検出された特定 のウイルスに応じて特定の訂正手法を適用する。その訂正手法は、未知のマクロ ウイルスの莫大な糸列のために、ウイルス感染マクロの処置にはあまり効果がな い。未知のマクロを検出しても、ウイルス感染マクロ含有のファイルを消去する だけでは有効な解決方法にはならない。ウイルス感染マクロの中にユーザが保持 したい正常動作が含まれていることが多いからである。したがって、マクロから ウイルス、とくに未知のウイルスを選択的に除去して、その後で使用可能な感染 なしの訂正ずみファイルを生ずる必要がある。 もう一つの問題はウイルスもそれらウイルスの検出に必要な情報も常に変動し ていることである。したがって、ウイルス検出情報の更新の容易なウイルス検出 方法およびウイルス検出装置が必要である。容易に改変可能な未知マクロウイル ス検出情報がとくに必要である。 上述のとおり、マクロに常駐するウイルスの検出が必要である。さらに、未知 のマクロウイルスを検出し、マクロウイルスを選択的に清浄化し、マクロウイル ス検出情報を簡便に更新する必要がある。 発明の概要 この発明はマクロからウイルスを検出し除去するシステム、装置および方法に よって従来技術の制約と欠点を解消する。 この発明によると、マクロウイルス検出モジュールはマクロ位置特定および復 号化モジュールと、マクロウイルス走査モジュールと、マクロ処置モジュールと 、ウイルス情報モジュールと、ファイル訂正モジュールと、データバッファとを 含む。マクロウイルス検出モジュールのコンフィギュレーション設定にしたがっ て一つのファイルをウイルス検出の対象にし、データバッファにコピーして分析 に備える。マクロ位置特定および復号化モジュールでそのファイルを試験して、 それがテンプレートファイルか否かを判定する。テンプレートファイルと判定し た場合は、そのテンプレートファイルの中のマクロはすべて位置特定して復号化 する。対象ファイルがテンプレートファイルでない場合は、マクロ位置特定およ び復号化モジュールでその対象ファイルを調べ、埋込みマクロを含むか否かを判 定し、その位置特定を行い復号化する。復号化されたマクロはデータバッファに 蓄積する。 マクロ走査モジュールはこのマクロ位置特定および復号化モジュールおよびデ ータバッファと信号授受し、したがって復号化ずみのマクロにアクセスしてウイ ルス走査に備える。マクロウイルス走査モジュールはマクロウイルス情報モジュ ールとも信号授受する。マクロウイルス情報モジュールは、マクロ中の既知およ び未知のウイルスの検出のためにマクロウイルス走査モジュールが用いる情報を 含む。上記復号化ずみのマクロをまず既知のウイルスの探索のために走査する。 既知のウイルスが検出された場合はその復号化ずみマクロは感染のフラグで表示 する。その復号化ずみマクロ、そのフラグ、およびその復号化ずみマクロをその マクロ中で検出された既知のマクロに関連づける情報をデータバッファに蓄積す る。上述のとおり感染マクロおよびその感染マクロの常駐するファイルはマクロ 処置モジュールおよびファイル訂正モジュールによって適切に処置され訂正され る。 既知のウイルスが検出されなかった場合は、復号化ずみマクロが未知のウイル スが含んでいるか否かをマクロウイルス走査モジュールが判定する。マクロウイ ルス走査モジュールはウイルス情報モジュール中に蓄積されている比較データを 用いて未知のマクロウイルスを検出する。この比較データは、マクロ中の容疑命 令の組合せの検出に用いる情報を含む。比較データの組の好例は第１および第２ の容疑命令特定コードを含む。マクロウイルス走査モジュールは、それら第１お よび第２の容疑命令が両方ともマクロに含まれていた場合にそのマクロがウイル スを含んでいると判定する。未知のウイルスが検出された場合は、その未知のウ イルスの検出に導く容疑命令特定コードの組にしたがって、そのマクロを汚染マ クロとフラグ表示する。既知のウイルスの検出の場合と同様に、明確な検出に導 いた情報を汚染マクロとともにデータバッファに蓄積し、マクロ処置モジュール およびファイル訂正モジュールが汚染マクロを適切に処置し訂正するようにする 。特定のシーケンス状のシグネチャでなく容疑命令の組合せを探索するので、マ クロウイルス走査モジュールで未知のウイルスが検出される。既知のウイルスお よび未知のウイルスの検出のための情報は別のモジュールに常駐しているので容 易に更新される。 マクロ処置モジュールはマクロウイルス走査モジュールおよびデータバッファ と信号授受し、それによって検出ウイルス関連の情報を得る。マクロ処置モジュ ールはマクロからウイルスを除去して清浄化ずみマクロまたはウイルス除去ずみ マクロを発生し、汚染マクロ含有のファイルをファイル処置モジュールで補修ま たは訂正できるようにする。マクロ処置モジュールはデータバッファ内の復号化 ずみマクロにアクセスし、既知のウイルスによる汚染のフラグ表示があるか否か を判定する。そのマクロに既知のウイルスによる汚染のフラグ表示がある場合は 、その既知のウイルスをそのマクロから除去する。そのマクロが既知のウイルス に汚染されていない場合は、マクロ処置モジュールがマクロ中の未知のウイルス の検出のための命令特定コードの組を用いてマクロを処置する。このマクロ処置 モジュールは、マクロウイルス走査モジュールおよびデータバッファから、復号 化 ずみマクロおよびウイルスの存在に関する情報を受ける。復号化ずみマクロの中 の容疑命令は命令特定コードを用いて特定し位置特定する。次に、好ましくは非 感染命令で置換することによって汚染マクロから容疑命令を除去し、清浄化ずみ またはウイルス除去ずみの処置ずみマクロを生ずる。この処置ずみマクロはデー タバッファに蓄積してファイル訂正モジュールによるアクセスに備える。この処 置ずみマクロの完全無欠性を検査し、検査結果に応じてその有効性をフラグ表示 する。マクロの完全無欠性がマクロ処置の完了の時点で維持されている場合は有 効のフラグ表示をする。完全無欠性が維持されていない場合はフラグ表示しない 。 ファイル訂正モジュールは、マクロ位置特定および復号化モジュール、マクロ ウイルス走査モジュール、マクロ処置モジュール、データバッファおよびウイル ス情報モジュールと信号授受する。処置ずみのマクロおよび汚染マクロ含有の対 象ファイルに関する情報はデータバッファ内でアクセスを受ける。ファイル訂正 モジュールはもとの形の対象ファイルにアクセスし、対象ファイルのコピーをデ ータバッファに蓄積する。対象ファイルのコピーは汚染マクロを含む。マクロ有 効性フラグ表示がない場合は、処置ずみマクロを汚染マクロ置換に用いることは せず、対象ファイル消去など代替の訂正動作を行わせ、汚染マクロ含有ファイル の存在のユーザへの通知、または対象ファイルからの汚染ファイルの除去および マクロなしバージョンへの対象ファイルの置換を行う。マクロ有効性のフラグ表 示がある場合は、ファイル訂正モジュールが汚染マクロを処置ずみマクロに置換 することによって対象ファイルを訂正する。汚染マクロを置換するために、ファ イル訂正モジュールは汚染マクロを位置特定して対象ファイルから除去し、その マクロ抜きの対象ファイルのバージョンがデータバッファに蓄積されるようにす る。次に処置ずみマクロを前記マクロ抜きの対象ファイルのバージョンに加えて 訂正ずみファイルを生ずる。この訂正ずみファイルを対象ファイル（もとの位置 の）の置換に用いる。したがって、未知のウイルスはマクロから除去され、その ようなマクロを含むファイルは正しい機能を保持するよう修正される。 図面の簡単な説明 この発明の上記および上記以外の詳細な特定の特徴は添付図面を参照した次の 説明により詳細に開示する。 図１はこの発明によるマクロウイルス検出装置を含むコンピュータシステムを 図解するブロック図である。 図２はこの発明によるメモリ装置の好ましい実施例を図解するブロック図であ る。 図３はこの発明によるマクロウイルス検出モジュールの好ましい実施例を図解 するブロック図である。 図４はこの発明によるマクロウイルス検出および訂正方法を図解する流れ図で ある。 図５はこの発明によるマクロの位置特定および復号化方法を図解する流れ図で ある。 図６はこの発明によるウイルス探索用マクロ走査方法を図解する流れ図である 。 図７はこの発明によるマクロ処置方法を図解する流れ図である。 図８はこの発明によるファイル訂正方法を図解する流れ図である。 図９はマクロウイルスの検出に用いる比較データの組の好例を含む表である。 発明の詳細な説明 図１を参照すると、この発明によって構成したコンピュータシステム１００は 中央処理装置（ＣＰＵ）１０４、表示装置１０２、メモリ装置１０６、入力装置 １０８、データ蓄積装置１１０および通信ユニット１１２を含む。ＣＰＵ１０４ は、パーソナルコンピュータの場合のようにフォン ノイマン アーキテクチャな ど慣用のアーキテクチャでバス１１４によって表示装置１０２、メモリ装置１０ ６、入力装置１０８、データ蓄積装置１１０および通信ユニット１１２に接続す る。ＣＰＵ１０４はカリフォルニア州サンタクララのインテル社から市販されて いるPentiumなどのマイクロプロセッサ、表示装置１０２はビデオモニタ、メモ リ装置１０６はランダムアクセスメモリ（RAM）、入力装置１０８はキーボード およびマウス、データ蓄積装置１１０はハードディスク装置、および通信ユニッ ト１１２は他システムとの信号授受を容易にするモデムなどの装置でそれぞれ構 成するのが好ましい。 上記以外の多様なコンピュータシステム構成が利用可能であり、この発明はそ れら構成のいずれを用いるかに制約されない。例えば、ＣＰＵ１０４にはモトロ ーラ社から市販されている代替のプロセッサを用いることができ、メモリ装置１ ０６は読出専用メモリ（ROM）またはRAMおよびROMの組合せでも構成できる。ま た、 システム１００をネットワークインタフェース（図示してない）を通ずるなどし て他のコンピュータシステムに接続することもできる。また、コンピュータシス テム１００はミニコンピュータまたはメインフレームコンピュータでも差し支え ないものと理解されたい。 ＣＰＵ１０４は、メモリ１０６からのこの発明によって構成された命令に従っ て、コンピュータファイルへのアクセス、それらファイルがマクロを含むか否か の判定、未知ウイルス含有ウイルスの有無の判断のためのマクロ位置特定および マクロ走査、およびウイルス検出の場合の訂正動作のための信号の供給を行う。 図２を参照すると、この発明にしたがって構成したメモリ装置１０６の好まし い実施例をより詳細に示してある。メモリ装置１０６はオペレーティングシステ ム１０２、アプリケーションプログラム２０４およびマクロウイルス検出モジュ ール２０６を蓄積している。 オペレーティングシステム２０２はワシントン州レッドモンドのマイクロソフ ト社から市販されているWINDOWS 3.1などのパーソナルコンピュータ用の慣用の もので構成するのが好ましい。ワードプロセッシング、表計算、作図など多様な アプリケーションプログラムの任意のものをメモリ装置１０６に蓄積できる。例 えば、メモリ装置１０６にはワードプロセッシング用アプリケーションとしてマ イクロソフトWORDを、表計算アプリケーションとしてマイクロソフトEXCELをそ れぞれ蓄積できる。アプリケーションプログラム２０４は通常アプリケーション データファイルを作成する。例えば、WORDは通常ファイル拡張子.DOCを有するデ ータファイルを発生する。通常のアプリケーションプログラム２０４はユーザか らの反復入力なしに逐次動作を可能にするマクロを含む。慣用のマクロには、キ ー押下げなど相対的に単純な動作のためのもの、ファイルを開きコピーし消去す るなどの動作のためのものなど多様な命令が含まれる。マクロ命令がFORMATなど 下位の命令を実行するようにオペレーティングシステム（またはDOSシェル）を 呼び出すこともある。マクロの用いる命令はマクロプログラム用言語をサポート するアプリケーションプログラム２０４で通常定まってくる。例えば、WORDファ イル用のマクロはWordBasicプログラミング言語を用いて書かれる。 IBM社から市販されているOS/2など多様なオペレーティングシステム２０２を この発明に代替的に用いることもできる。また、多様なアプリケーションプログ ラ ム２０４を用いることもできる。この発明の実施例の一部ではWORDアプリケーシ ョンデータファイルにWordBasicコマンドを用いるマクロウイルスの検出を記載 しているが、この発明が上記のような代替のオペレーティングシステム２０２お よび代替のアプリケーションプログラム２０４にも適用できることは当業者には 理解されよう。 マクロウイルス検出モジュール２０６は、ファイルへのアクセス、それらファ イルがマクロを含むか否かの判定、ウイルス含有の有無の判定のためのマクロの 走査、およびウイルス含有と判定されたマクロの処置および汚染マクロ含有ファ イルの訂正のためのルーチンを含む。マクロウイルス検出モジュール２０６はオ ペレーティングシステム２０２およびアプリケーションプログラム２０４と連携 して動作する。マクロウイルス検出モジュール２０６は通常ソフトウェアで実動 化するがハードウェアまたはファームウェアでも実動化できる。マクロウイルス 検出モジュール２０６は図示のとおりオペレーティングシステム２０２およびア プリケーションプログラム２０４と別になっているのが好ましいが、マクロウイ ルス検出モジュールをオペレーティングシステム２０２またはアプリケーション プログラム２０４と一体化して同様のウイルス検出訂正動作をさせることもでき る。 図３を参照すると、マクロウイルス検出モジュール２０６の好ましい実施例は マクロ位置特定および復号化モジュール３０２、マクロウイルス走査モジュール ３０４、マクロ処置モジュール３０６、およびファイル訂正モジュール３１０を 含む。これらに加えて、ウイルス情報モジュール３０８がマクロ中のウイルス検 出およびウイルス汚染マクロの処置のための比較データを供給し、データバッフ ァ３１２がマクロウイルス検出訂正用情報を蓄積する。データバッファ３１２を いくつかの蓄積位置を含む単一のモジュールとして図示してあるが、このデータ バッファ３１２の多様な機能のために複数の個別データバッファを用いることも できる。 マクロウイルス検出モジュール２０６は対象ファイルにアクセスしてマクロ含 有の有無を判定する。ファイルへのアクセスはユーザが予め設定または決定した モジュール３０２のコンフィギュレーション設定に左右される。例えば、ユーザ は分析のために単一のファイルだけを対象にする場合もある。また、選ばれたア プリケーションプログラム２０４に対応するファイルなどファイル群を対象にし たり、選択したディレクトリまたは蓄積領域内のファイル全部を対象にしたりす ることもできる。多様な事象でファイル分析を起動できる。例えば、ユーザはウ イルス走査を起動し、分析はあるアプリケーションファイルを開いた任意の時点 で起動でき、またシステム１００のブートアップｎ回ごとまたは特定時間間隔ご とに完全分析を図ることもできる。マクロ位置特定および復号化モジュール３０ ２は、マクロウイルスを含み得る任意のファイルにアクセスし、それらファイル へのアクセスをアプリケーションプログラムの起動前、すなわちアプリケーショ ンデータファイルを開く前に行うように構成するのが好ましい。マクロウイルス の中には、関連アプリケーションプログラムの起動とともに動作し、したがって ユーザによる走査始動前の検出を要するものがあるからである。 対象ファイルの各々はマクロウイルス検出モジュール２０６によってアクセス され、分析用にデータバッファ３１２に蓄積される。理解を容易にするために諸 モジュール３０２、３０４、３０６、３０８、３１０、３１２の特定の機能に関 連して単一のファイルの分析を説明するが、この発明によりいくつかのファイル を同時並行的にまたは逐次的に分析することもできる。 マクロ位置特定および復号化モジュール３０２は、対象ファイルをそれらファ イルがマクロ含有型のものか否かの判定および埋め込みマクロ含有の有無の判定 のために調べ、対象ファイル内でマクロを位置特定し復号化する。 このマクロ位置特定および復号化モジュール３０２はデータバッファ３１２と 信号授受し、対象ファイルに分析のためのアクセスする。マクロはテンプレート ファイルにも見出され、アプリケーションデータファイルに埋め込まれる。マク ロ位置特定および復号化モジュール３０２は対象ファイルがテンプレートファイ ルであるか否かをまず判定する。この判定は拡張子をチェックすることによって 行う。例えば、そのファイルがWORDアプリケーションプログラム２０４関連であ ればファイルを拡張子.DOTについてチェックする。この.DOT拡張子はファイルが テンプレートファイルであることを示す。 対象ファイルがテンプレートファイルであると判定されない場合は、埋込みマ クロを含んでいる場合がある。例えば、.DOC拡張子つきのWORDファイルなどのア プリケーションデータファイルは埋込みマクロを含んでいることがあり得る。マ クロ位置特定および復号化モジュール３０２はデータバッファ３１２に蓄積され ている対象ファイルにアクセスし、そのフォーマティングが埋込みマクロを示す か否かを判定する。フォーマティングフィールドは各アプリケーションプログラ ム２０４の慣用の規則に従って変動し、アプリケーションプログラム２０４の製 造業者から供給される。 対象ファイルがマクロを含むか否か、そのマクロが埋め込まれているか否か、 テンプレートファイルの形になっているかまたはマクロをサポート可能な他の形 式のファイルになっているかが判定されるとマクロは対象ファイル中で位置特定 される。マクロ位置特定および復号化モジュール３０２はオペレーティングシス テム２０２と信号授受する。オペレーティングシステムはWINDOWS 3.1で提供さ れるようなオブジェクト連結埋込み（OLEまたはOLE2）などの情報共用資源を含 む。この情報共用資源はアプリケーションファイルなどファイル構造の詳細を提 供し、埋め込まれているオブジェクトをファイル内で位置特定できるようにする 。情報共用資源コマンドはオペレーティングシステム２０２に応じて変わるが、 一般に、オブジェクトを開く、特定の流れをシークする、ファイルに対して読出 し書込みを行うなどの単純なコマンドである。マクロの位置特定および復号化に おける情報共用資源の実働化に慣用のプログラム手法を用いることができる。マ クロの位置特定ののちマクロ位置特定および復号化モジュール３０２はマクロを 復号化してウイルス探索のための走査ができるようにする。オペレーティングシ ステム２０２の情報共用資源をコヒーレントな情報へのマクロの復号化に用い、 ASCII変換を走査に適した形式への復号化ずみマクロの変換に用いる。復号化ず みマクロはデータバッファ３１２に蓄積する。また、復号化ずみマクロをそのマ クロの抽出元の対象ファイルに関連づける情報をデータバッファ３１２に蓄積す る。 マクロウイルス走査モジュール３０４はマクロ位置特定および復号化モジュー ル３０２およびデータバッファ３１２と信号授受しており、したがって、モジュ ール３０２は復号化ずみマクロをマクロ走査モジュール３０４に供給する。この モジュール３０２に用いられるマクロ位置特定および復号化の好ましい方法は図 ５を参照してさらに詳細に説明する。 マクロウイルス走査モジュール３０４は、復号化ずみマクロとウイルス情報モ ジュール３０８からのデータとの比較に基づき既知のウイルスおよび未知のウイ ルスの検出のために復号化ずみマクロを走査するルーチンを含む。マクロウイル ス走査モジュール３０４はマクロウイルス検出の諸態様を提供するように構成で きる。例えば、走査周期を短くできるようにウイルスの特定の群だけ、すなわち ウイルスのうち既知の形式のものだけ、未知の形式のものだけまたは両形式のも のとも検出するように構成でき、ウイルスの最初の検出に応答して警報を発する とか、ウイルス検出の表示の前にいくつかの対象ファイルの走査を完了させてお くなどの構成も可能である。 マクロウイルス走査モジュール３０４はデータバッファ３１２中の復号化ずみ マクロにアクセスし、既知のウイルスについてその復号化ずみマクロを走査し、 そのマクロが見出されない場合は未知のウイルスについてその復号化ずみマクロ を走査する。既知のウイルスについて走査する際には、マクロウイルス走査モジ ュール３０４はシグネチャ走査手法を用いる。すなわちウイルス走査モジュール ３０４はウイルス情報モジュール３０８と信号授受している。ウイルス情報モジ ュール３０８は既知のウイルスを検出する情報を含む。例えば、ウイルス情報モ ジュールは既知のウイルスを特定するデータまたはシグネチャのストリングを含 む。ウイルス情報モジュール３０４はデータバッファ３１２の中の復号化ずみマ クロにアクセスしその復号化ずみマクロを走査してウイルスシグネチャ含有の有 無を判定する。この走査を行うのに状態マシーンまたは同様の手法を用いること ができる。既知のウイルスシグネチャがその復号化ずみマクロ中に見出された場 合は、マクロウイルス走査モジュール３０４が既知ウイルスに従ってその復号化 ずみマクロを汚染マクロと特定し、その復号化ずみマクロをデータバッファ中の 既知のウイルスに関連づける情報を蓄積し、マクロ処置モジュール３０６など他 のモジュールがその汚染マクロを処置できるようにする。 既知のウイルスが検出されなかった場合は、マクロ走査モジュールが復号化ず みマクロの中の未知のウイルスについて走査を行う。上述のとおり、アプリケー ションプログラム２０４は種々の動作にマクロが用いる命令を含むWordBasicな どのプログラム言語を含むことが多い。マクロウイルスは不要で有害な動作を行 う種々の動作および命令を用いる。 通常のアプリケーションプログラム２０４はマクロをテンプレートファイルに 提供することによってマクロをサポートする。テンプレートファイルはワードプ ロセシング設定など飾りほかの設定を含む。また、テンプレートファイルはマク ロを含み得る。通常は、グローバルテンプレートファイルはデータファイルのた めに設定およびマクロを提供する。例えば、マイクロソフトWORDについては、グ ローバル設定およびマクロのプールはテンプレートファイルNORMAL.DOTに常駐す る。アプリケーションプログラム２０４がデータファイルを開くと、それによっ てグローバルテンプレートファイルがまず開き、グローバル設定およびマクロを ロードし、そのあとでデータファイルを開く。通常のデータファイルは埋込みマ クロを含まないアプリケーションプログラム２０４を表すようにフォーマットさ れている。しかし、データファイルはテンプレートファイルを含まない旨をアプ リケーションプログラム２０４に表示するようにフォーマットすることもできる 。 ある種のマクロウイルスは汚染された文書ファイルをテンプレートフォーマッ トで保存し文書ファイルまたはデータファイル拡張子（.DOC）は消去しないまま 保存するようにする。したがって、汚染マクロは外見上アプリケーションデータ ファイルの文書の中に埋め込まれ得る。その種のマクロには「AutoOpen」、「Au toExec」、「AutoClose」など、すなわちデータファイルを開いた際にマクロを 実行させるようマクロが含まれる。したがって、ユーザは通常のデータファイル に見えるものを開こうとすることはできるが、そうすると、埋込みマクロを自動 的に実行させることになる。マクロウイルスも他のファイルで複製を生じる。例 えば、マクロウイルスはデータファイル中に自分自身をコピーしてそのデータフ ァイルへの通常のファイル拡張子を維持しながらテンプレートフォーマットを表 示するようにデータファイルをフォーマットすることがよくある。 マクロウイルスに汚染されたファイルはそのフォーマットを変えられてしまっ たり、汚染されたデータファイルが更新ずみのフォーマット情報とともにマクロ ウイルスによって保存されたりする。また、汚染されたマクロがグローバルテン プレートにコピーされ、その結果、他のファイルが開かれる際にそれら他のファ イルに広がり得る。 マクロウイルス走査モジュール３０４はマクロウイルスに使われる可能性の高 いマクロ命令組合せ、換言すれば容疑命令組合せを検出するルーチンを含む。マ クロウイルス走査モジュール３０４の検出する容疑命令の一つの組合せはマクロ イネーブル化命令およびマクロ複製命令である。マクロイネーブル化命令はファ イルのフォーマッティングが実行用マクロ含有ファイルを表示するように設定可 能な命令である。例えば、ファイルフォーマッティングの設定を、ファイルを開 いた際にテンプレートファイルがアプリケーションプログラム２０４で実行され るようにテンプレートファイルを表示するように行うことができる。マクロ複製 命令はマクロウイルスの複製を可能にする命令である。マクロイネーブル化命令 とマクロ複製命令との組合せはマクロウイルスを表示する。すなわち、そのよう な命令は先行ファイルにおけるマクロの複製および実行を可能にするからであり 、これらはマクロウイルスの二つの通常の特徴を構成する。 容疑命令の組合せを特定するためにマクロウイルス走査モジュール３０４はウ イルス情報モジュール３０８からの比較データにアクセスする。この比較データ は、復号化ずみマクロの中の容疑命令の組合せの特定のための命令識別子組を含 む。それら命令識別子組の好例は第１および第２の容疑命令識別子を含む。命令 識別子は二進のストリングであり、復号化ずみマクロの走査はこれら二進のスト リング、すなわち容疑命令をそれらマクロが含んでいるか否かを判定するように 行う。命令識別子の組で定義した容疑命令の組合せをマクロが含むと判定された 場合は、そのマクロがそのデータ組に対応する未知のウイルスで汚染されている と判定する。マクロウイルス走査モジュール３０４は復号化ずみマクロを未知ウ イルスによる汚染マクロとフラグ表示し、その復号化ずみマクロをデータバッフ ァ３１２中における未知ウイルス検出に導いた命令識別子に関連づける情報を蓄 積し、マクロ処置モジュール３０６など他のモジュールが汚染マクロを然るべく 処置できるようにする。マクロウイルス走査モジュール３０４の検出した容疑命 令の組合せ、すなわちマクロウイルスイネーブル化およびマクロウイルス複製の 命令などの命令の組合せは図６を参照してさらに詳述する。 ウイルス情報モジュール３０８はマクロウイルス検出モジュール２０６中の他 のモジュール３０２、３０４、３０６、３１０、３１２から分離するのが好まし い。それによって、マクロウイルス検出用の情報の更新が容易になる。例えば、 ウイルス情報３０８はフロッピーディスクなどの媒体から得た新しい情報をコピ ーすることによって更新できる。また、コンピュータシステム１００の通信ユニ ット１１２経由、またはネットワークリンク（図示してない）経由でアクセスし たインターネット資源から新たな情報をダウンロードすることもできる。分離し たウイルス情報モジュール３０８によって情報転送がより容易になり、更新も容 易になり、したがって未知ウイルスを含むウイルスに対するシステム１００の保 護が強化される。 マクロ処置モジュール３０６はデータバッファ３１２およびマクロウイルス走 査モジュール３０４と信号授受し、したがって対象ファイルからの復号化ずみマ クロの中のウイルスの検出に関する情報を受ける。マクロ処理モジュール３０６ は、マクロウイルス走査モジュール３０４が復号化ずみマクロの中に既知または 未知のウイルスを検出したか否かを判定するための復号化ずみマクロの状態のチ ェックのルーチン、復号化ずみマクロからマクロウイルスを除去するルーチン、 および処置ずみマクロの完全無欠性を検証するルーチンを含む。 マクロ処置モジュール３０６はデータバッファ３１２の中の復号化ずみマクロ にアクセスして復号化ずみマクロの状態をチェックし、マクロウイルス走査モジ ュール３０４が既知のウイルスを検出したか否かを判定する。そのマクロの状態 はデータバッファ３１２内では状態フラグなどの情報で表される。また、データ バッファ３１２は復号化ずみマクロをそのマクロに含まれる既知のウイルスと関 連づける情報を蓄積している。上述のとおり、この情報はマクロウイルス走査モ ジュール３０４から供給される。マクロウイルス走査モジュール３０４に適切な 情報を蓄積しマクロ処置モジュール３０６と直接に信号授受することもできる。 既知ウイルス判定フラグが表示されている場合は、マクロ処置モジュールは復号 化ずみマクロからその既知マクロを除去するための既知ウイルス関連情報を用い る。既知のマクロウイルスを復号化ずみマクロから選択的に除去し非汚染命令と 置換して、そのマクロの残余の部分がそれ以降の動作のために保持するのが好ま しい。処置ずみマクロはマクロ処置モジュール３０６によってデータバッファ３ １２内に区別して蓄積される。次に、処置ずみマクロの完全無欠性をマクロ処置 モジュールで確認し、完全無欠性が維持されている場合はその処置ずみマクロに 有効とフラグ表示する。処置ずみマクロの完全無欠性が維持されていなかった場 合は、処置ずみマクロを無効と表示する。マクロの完全無欠性のチェックは、残 余の命令が無傷であるか否かの確認および命令の逐次連結が無傷の状態に留まっ ているか否かの確認によって行う。マクロの完全無欠性の検証は、ファイル訂正 モジュール３１０など他のモジュールが、汚染マクロを処置ずみマクロで置換す るまたは対象ファイルから汚染マクロ消去するに留めるなどの代替処置を決定す ることを可能にする。 マクロウイルス走査モジュール３０４が未知のウイルスを検出した場合は、そ の未知のウイルスの影響を除去するようにマクロ処置モジュール３０６がそのマ クロを処置する。既知ウイルス処置プロトコルと同様に、マクロ処置モジュール ３０６はデータバッファ３１２と信号授受して未知のウイルスの検出の有無を判 定し、有りと判定した場合はウイルス有りの判定に導いた命令識別子を特定する 。マクロの中の未知ウイルスの検出に導いた容疑命令識別子の組をそのマクロの 訂正に用いる。各命令識別子は、各命令の識別およびマクロからの除去を可能に するように一つ以上の容疑命令と関連づけてある。ウイルス訂正用のマクロ処置 モジュール３０６はマクロを復号化して訂正に備え、またはマクロウイルス走査 モジュール３０４で復号化ずみのマクロにアクセスする。ここでも容疑命令を復 号化マクロから除去し非汚染命令と置換するのが好ましい。処置ずみマクロはデ ータバッファ３１２に蓄積し、ファイル訂正モジュール３１０など他のモジュー ルによるアクセスに備える。上記の対既知ウイルス処置プロトコルと同様に、処 置ずみマクロの完全無欠性を検証し、そのマクロに然るべきフラグ表示を立てる 。好適なマクロ処置ルーチンは図７を参照してより詳細に述べる。 ファイル訂正モジュール３１０はデータバッファ３１２およびマクロ処置モジ ュール３０６ほかのモジュールと信号授受し、対象ファイルからのマクロで検出 されたウイルスに関する情報をその信号授受を通じて受ける。ファイル訂正モジ ュール３１０は汚染ファイルの表示があった場合の処置動作のためのルーチンを 含む。マクロ処置モジュール３０６の中のルーチンは自動的にまたはユーザ許可 時のみに種々の処置動作を行うように構成できる。例えば、ファイル訂正モジュ ール３１０は汚染マクロ含有の対象ファイルをコピーし、その汚染マクロ処置ず みマクロと置換し、ユーザへの通知なしに対象ファイルを訂正ずみと置換するこ とができる。ファイル訂正モジュール３１０も、訂正動作の諸段階でユーザに進 行の可否を問い合わせるプロンプトを生ずるように構成できる。この動作がコン ピュータシステム１００の入力装置１０８および表示装置１０２を用いて対話式 に行われることはもちろんである。例えば、ファイル訂正モジュール３１０が対 象ファイルからのマクロの中にある種のウイルスまたは未知のウイルスが検出さ れたことをユーザに表示する。次に、ユーザは対象ファイルを訂正ずみファイル に置換することを望むか否かの問合せを受ける。ファイル訂正モジュール３１０ の構成の仕方、および諸段階におけるプロント表示の仕方が多様であることは当 業者に理解されよう。 ファイル訂正モジュール３１０はデータバッファ３１２と信号授受し、それに よって汚染マクロ含有の対象ファイルを表示する。ファイル訂正モジュール３１ ０は汚染マクロ含有の対象ファイルにアクセスし、その対象ファイルのコピーを そのファイルの訂正のためにデータバッファ３１２に蓄積する。マクロ位置特定 および復号化モジュール３０２、マクロウイルス走査モジュール３０４およびマ クロ処置モジュール３０６について上述したとおり、データバッファ３１２は対 象ファイルと処置ずみマクロとの関係やその処置ずみマクロの有効無効などに関 する情報および検出ウイルスの種類に関する情報を蓄積している。ファイル訂正 モジュール３１０はデータバッファ３１２の中のマクロ有効性フラグをチェック して、マクロ処置モジュール３０６による検出ウイルスの除去および処置ずみマ クロの完全無欠性の維持が可能であったか否かを判定する。処置ずみマクロの完 全無欠性が維持されていなかった場合は、ファイル訂正モジュール３１０がデー タバッファ３１２の中の対象ファイルをその中の汚染マクロを処置ずみマクロと 置換することによって訂正する。ウイルス汚染マクロを汚染ファイルの中でまず 位置特定する。この動作はマクロ位置特定および復号化モジュール３０２との信 号授受によって行うことができ、またモジュール３０２と同様にオペレーティン グシステム２０２の情報共用資源にマクロ位置特定のためにアクセスできるファ イル訂正モジュール３１０によって独立に行うこともできる。汚染を受けた対象 ファイルのコピーをデータバッファ３１２に蓄積する。次に処置ずみマクロをそ のマクロ抜きの対象ファイルのバージョンに加えて訂正ずみファイルを生ずる。 この訂正ずみファイルを元の位置の対象ファイルへの置換に用いる。これは対象 ファイルを訂正ずみファイルで直接に置換する手法である。代替的に、対象ファ イルを消去または上書きし、訂正ずみファイルを別の位置に蓄積することもでき る。 無効とフラグ表示された対象ファイルに対応する処置ずみマクロは汚染マクロ との置換には用いないのが好ましい。その場合は、ファイル訂正モジュール３１ ０によって種々の代替的訂正動作を行うことができる。例えば、対象ファイルが ウイルスを含んでいることをユーザに知らせ、汚染マクロを置換なしに汚染ファ イルから除去し、または対象ファイルを除去することができる。 図４を参照すると、マクロの中の未知のウイルスを検出する方法４００流れ図 が示してある。ウイルス検出のための対象ファイルにまずアクセスする。対象フ ァイルは通常メモリ１０６内にあり、それら対象ファイルをデータバッファ３１ ２にコピーしてマクロウイルス検出モジュール２０６がそれら対象ファイルから マクロウイルスを検出し除去できるようにする。対象のファイル一つだけについ て処理を詳述するが、この発明では多数のファイルにアクセスして検査すること が可能である。ファイルへのアクセスのタイミングと範囲は、マクロウイルス検 出モジュール２０６の説明において上述したとおり、このモジュール２０６がど のように構成されているかに左右される。すなわち、多様なファイルを対象にで き、ユーザに選択可能な条件に基づいてウイルス検出を起動できる。しかし、マ クロウイルス検出モジュール２０６はアプリケーションプログラム２０４の起動 の必要なしにアプリケーションプログラム２０４起動で動作するマクロウイルス の検出および除去が可能になるようにするのが望ましい。 マクロ位置特定および復号化モジュール３０２は対象ファイルにアクセスしデ ータバッファに供給したのち、その対象ファイル中のマクロの有無を判定し、そ れらマクロの位置特定および復号化に進む。ファイルの位置特定および復号化の 好ましい方法５００は図５を参照してより詳細に述べる。次に、マクロが位置特 定および復号化モジュール３０２によって見出されたか否かを判定する（４４０ ）。マクロが対象ファイルの中にあると判定された場合（４４０）は、マクロを マクロウイルス走査モジュール３０４で走査し（６００）、そのマクロがマクロ ウイルスで汚染されているかどうかを判定する。対象ファイルの中にマクロがな いと判定された場合（４４０）は、このマクロウイルス検出方法は終了する。好 ましい走査の方法（６００）は図６を参照してより詳細に述べる。走査において ウイルスが検出された場合（４６０）は、汚染マクロをマクロ処置モジュール３ ０６で処置する（７００）。走査においてウイルスが検出されなかった場合（４ ６０）は、このウイルス検出方法は終了する。マクロ処置の好ましい方法は図７ を参照してより詳細に述べる。マクロ処置ののち（７００）、汚染した対象ファ イルに 対して訂正動作（８００）を行い、そのあとでマクロウイルス検出の好ましい方 法を終了する。好ましい訂正方法は図８を参照して詳述する。 図５を参照すると、この発明によるマクロ位置特定および復号化の好ましい方 法５００が示してある。アプリケーションデータファイルやテンプレートファイ ルなど種々のファイルを対象にすることができる。マクロ位置特定および複合化 モジュール３０２は、対象ファイルのマクロ含有の有無の判定をそのファイルの 所属種類の判定（ステップ５０５）によってまず行うルーチンを含む。この判定 は対象ファイルのファイル拡張子をチェックすることによって行う。所属ファイ ル種類のチェックによって、対象ファイルがテンプレートファイルであるか否か を判定できる。そのファイルがテンプレートファイルである場合は、マクロ位置 特定および復号化モジュール３０２は対象ファイルにおける埋込みマクロの有無 を判定する必要はない。したがって、そのファイルがテンプレートファイルであ るとステップ５１０で判定された場合は、そのファイルの中のどのマクロも位置 特定され（５２５）復号化され（５３０）、マクロウイルス走査モジュール３０ ４によるウイルスについての走査に備える。復号化ずみのマクロはいずれもデー タバッファ３１２に蓄積され（５３５）、マクロウイルス走査モジュール３０４ によるアクセスに備える。 そのファイルがテンプレートファイルまたはそれ以外のマクロを含有し得る種 類のファイルでないとステップ５１０で判定された場合は、ステップ５１５で対 象ファイルを調べて埋込みマクロの有無を判定する。埋込みマクロがない場合は 、対象ファイルがマクロを含まないとステップ５４０で判定して、この好ましい 方法は終了する。ファイルが埋込みマクロを含むか否かの判定はファイルフォー マッティングをチェックすることによって行う。例えば、一つのフォーマットは 、アプリケーションデータファイルが拡張子の表示如何に関わらずテンプレート ファイルを含む旨をアプリケーションプログラム２０４に示すことを可能にする 。そのファイルフォーマットがテンプレートファイル含有を表す場合は、その対 象ファイルは埋込みマクロを含むかもしれない。ステップ５２０においてファイ ルが埋込みマクロを含まないと判定された場合は、ステップ５４０においてマク ロは対象ファイル中にないと判定し、この好ましい方法５００は終了する。 対象ファイルは埋込みマクロを含まないとステップ５２０で判定された場合、 または対象ファイルはマクロ含有テンプレートファイルであるとステップ５１０ で判定された場合は、そのマクロをステップ５２５で位置特定しステップ５３０ で復号化する。位置特定および復号化モジュール３０２は、WINDOWS 3.1オペレ ーティングシステムで提供されているようなオブジェクト連結埋込み(OLEまたは OLE2）などのオペレーティングシステム２０２情報共用資源を用いるルーチンを 含む。位置特定および復号化モジュール３０２について上述したとおり、情報共 用資源は、ファイルに一体化されたオブジェクトの位置特定および復号化を可能 にするように、ファイル構造に関する詳細、すなわちアプリケーションファイル やテンプレートファイルの詳細を提供する命令を含む。慣用のプログラム作成手 法をマクロ位置特定および復号化のための情報共用資源の実働化に使うことがで きる。マクロを位置特定し復号化したのち二進符号に変換し（例えばASCII変換 により）、ステップ５３５においてデータバッファ３１２に蓄積してウイルスに ついての走査ができるようにする。マクロ位置特定および復号化モジュール３０ ２は、復号化マクロの蓄積のほかに、復号化ずみマクロと対象ファイルとの間の 関連を維持し蓄積し、マクロウイルス走査モジュール３０４、マクロ処置モジュ ール３０６およびファイル訂正モジュール３１０が対象ファイルの正しい走査お よび処置、および訂正をできるようにする。ステップ５３５でマクロの復号化お よび蓄積が終了したのち、この好ましい位置特定および復号化の方法５００は終 了する。 図６の流れ図を参照すると、この発明によるマクロ中ウイルス検出の好ましい 方法６００が示してある。マクロウイルス走査モジュール３０４は、位置特定お よび復号化モジュール３０２の提供する復号化ずみマクロ情報にアクセスし、復 号化ずみマクロの情報とウイルス情報３０８との比較によりウイルスの存在を検 出するルーチンを含む。 第１のステップ６０５において、復号化マクロを既知のウイルスについて走査 する。既知のウイルスについて走査するために、マクロウイルス走査モジュール ３０４はシグネチャ走査手法を用いる。マクロウイルス走査モジュール３０４は データバッファ３１２中の復号化ずみマクロにアクセスし、ウイルス情報モジュ ールの提供するウイルスシグネチャをそれらマクロが含むか否かを判定する。ス テップ６１０において、既知ウイルス走査ステップ６０５に基づく既知ウイルス を復号化ずみマクロが含むか否かを判定し、既知ウイルス有りの場合は、ステッ プ６１５においてマクロウイルス走査モジュールがそのマクロを既知ウイルスに よる汚染有りとフラグ表示しその復号化ずみマクロとその既知マクロとを関連づ ける情報をデータバッファ３１２に蓄積する。 走査ステップ６０５で既知ウイルスが検出されなかったとステップ６１０で判 定した場合は、マクロウイルス走査モジュール３０４が復号化ずみマクロの中の 未知のウイルスについて走査を行う。ステップ６１５において、マクロウイルス 走査モジュール３０４は未知のウイルスの検出のための一連の命令識別子を取り 入れる。マクロ走査モジュール３０４はマクロウイルスに使われそうな命令を検 出する。これら命令は容疑命令とも呼ぶ。容疑命令の特定の組合せはマクロウイ ルスに使われる可能性が高い。容疑命令の組合せの探索によって、誤ったウイル ス検出を回避できる。二つ（またはそれ以上）の互いに異なる容疑命令を含むマ クロは汚染されている可能性がごく高いからである。 マクロウイルス走査モジュール３０４の説明で述べたとり、通常のアプリケー ションプログラム２０４はテンプレートファイルにマクロを提供する。通常はア プリケーションデータファイルはグローバルテンプレートファイルを使うが、埋 込みマクロを含むことを示すようにフォーマットすることもできる。例えば、WO RDファイルをテンプレートファイル含有の表示のために.DOTフォーマットで保存 することができる。多くのマクロウイルスが、汚染ドキュメントファイルをテン プレートフォーマット（.DOT）で保存させ、ドキュメントまたはデータファイル 拡張子（.DOC）を不変のまま保持させる。したがって、汚染マクロは外見上単な るアプリケーションデータファイルに見えるドキュメントに埋め込まれるかもし れない。マクロウイルスは他のファイルに自分自身の複製を作る。例えば、マク ロウイルスはデータファイルに自分自身をコピーして、データファイル用の通常 のファイル拡張子を維持しながらデータファイルをテンプレートフォーマット表 示状態にフォーマットすることが多い。 マクロ走査モジュール３０４の検出した容疑命令の一つの組合せはマクロイネ ーブル化命令およびマクロ複製命令である。マクロネーブル化命令は、そのファ イルが実行用のマクロを含むことを表すようにファイルをフォーマットするもの である。例えば、ファイルフォーマッティングをテンプレートファイルを表すよ うに設定して、アプリケーションプログラム２０４がテンプレートファイルをフ ァイルが開いたとき実行するようにすることができる。マクロ複製命令はマクロ ウイルスの複製を可能にする命令である。マクロイネーブル化命令とマクロ複製 命令との組合せはマクロウイルスを表す。それら命令によって先行ファイルにお けるマクロウイルスの二つの通常の特徴、すなわちマクロの複製および実行が可 能になるからである。 マイクロソフトWORDファイルなど特定のアプリケーションファイルでは、ファ イルフォーマットフィールド.formatを１に設定すると、アプリケーションプロ グラム２０４（WORD）がファイルに埋込みマクロが含まれているものと判断し、 適当な始動により、ファイルに埋込みずみの任意のマクロにアクセスしてそれを 実行する。すなわち、ファイル中で.formatを１に設定することによって、その ファイルの中のマクロの実行をイネーブルし、先行ファイルでそのような設定の 提供を求める命令はすべてマクロイネーブル化命令とみなす。例えば、命令「if dlg.format=0，then dlg.format=1」は先行ファイルで.formatを０から１に変 えることを可能にするのでマクロイネーブル化命令である。命令「FileSaveAsa$ ,1」など他の命令は元のファイルを保持し、ファイルが埋込みマクロを含み得る 旨を表示するフォーマットなど別のフォーマットでそのファイルの追加のコピー を保存する。したがって、この種の命令もマクロイネーブル化命令である。ファ イル中でマクロウイルス実行をイネーブルする種々の代替的命令が認識されよう 。 マクロウイルス複製命令はマクロウイルスの反復を可能にする種類のものであ る。例えば、命令「MacroCopy」はマクロをコピーし、そのマクロが汚染してい る場合は有害な命令全部、すなわち送信元から宛先まで全部をコピーする。命令 「Organizer.copy」など上記以外の命令もマクロウイルス複製を容易にする。種 々の代替的命令がマクロウイルス複製を容易にできることを理解されたい。 マクロ位置特定および復号化の好ましい方法５００について述べたとおり、対 象ファイルからのマクロ命令は位置特定されたのち分析のために２進符号に変換 される。特有の２進符号は容疑命令にも対応する。例えば、マクロウイルスイネ ーブル化命令「ifdlg.format=0thendlg.format=1」はマクロウイルス複製命令「 MacroCopy」と同様に特定の対応２進符号を有する。したがって、ウイルス情報 モジュール３０８から得られる比較データ（６１５）は第１および第２の命令用 の２進符号または２進符号の特有部分をそれぞれ含み、それによって対象ファイ ルからのマクロの中の第１および第２の命令を特定する。 また、この発明によって特有の２進符号部分がいくつかの容疑命令に対応する と判定された。例えば、２進ストリング「73 CB 00 0C 6C 01 00」（１６進表記 ）はいくつかのマクロウイルスイネーブル化命令中に見出される命令部分「.for mat=1」に対応する。また、例えば、上記命令「ifdlg.format=0thendlg.format= 1」、「ifbewaardlg.format=0thenbewoordlg.format=1;およびFileSaveAs.Forma t=1」、および「FileSaveAs.Name=Filename$(),.Format=1」は２進ストリング「 73 CB 00 0C 6C 01 00」は２進ストリングを含む。したがって、この発明はこの 73 CB 00 0C 6C 01 00など特定のストリングを複数の互いに異なる容疑マクロ命 令の検出のための識別子として用いる。 ウイルス情報モジュール３０８の中の比較データにはいくつかの組の命令識別 子を含めるのが好ましい。容疑命令の種々の組合せをそれら命令識別子組の利用 により検出できる。種々のマクロウイルスイネーブル化命令やマクロウイルス複 製命令をこれら命令識別子の各組を用いて識別できる。命令識別子はマクロウイ ルスイネーブル化命令およびマクロウイルス複製命令に限られない。例えば、コ ンピュータハードディスク装置に認証および命令なしに再初期化を行わせる命令 、すなわちユーザへの通知なしの再初期化を可能にするようにシステム設定を変 更する命令は容疑命令組合せとして使用可能である。 図９を参照すると、ウイルス情報モジュール３０８に蓄積した命令識別子の好 例を含むデータ表が示してある。この好例データ表９００はいくつかの互いに異 なる命令識別子に対応する行９０２を含む。また、命令識別子９０３の組を識別 する列、命令識別子ＩＤ番号９０４および命令識別子２進符号のテキストおよび 対応１６進表記９０５もこの表に含めてある。命令識別子の各組に二つの命令識 別子を含めるのが好ましいが、付加的な命令識別子は一つの組に含め得る。また 、マクロウイルス判定は三つの命令識別子のうちの二つまたはそれ以外の識別子 小群の検出に基づいて行うことができる。データ表９００は例示にすぎない。ウ イルス情報モジュール３０８への比較データの蓄積は種々の手法で行うことがで きる。 図６の流れ図を参照すると、ステップ６１５においてマクロウイルス走査モジ ュール３０４で一組の命令識別子を得たのち復号化ずみマクロを走査して、命令 識別子の識別したような容疑命令の組合せを含むか否かを判定する。ステップ６ ２０において復号化ずみマクロを第１の命令識別子を用いて走査する。例えば、 復号化ずみマクロを走査して（６２０）、命令識別子９００の第１の組の中の第 １の命令識別子に対応するストリング73 CB 00 0C 6C 01 00が存在するか否かを 判定する。ステップ６２０における走査は状態マシーン、すなわち復号化ずみマ クロを走査して上記ストリングの有無を判定する状態マシーンで行う。ステップ ６２５において、第１の容疑命令識別子が復号化ずみマクロに存在するか否かを 判定する。この第１の命令識別子に対応する命令はないと判定した場合は（６２ ５）、ステップ６４５でこの命令識別子組にしたがってそのマクロを非汚染と判 定し、このマクロウイルス走査方法６００を終了する。 ステップ６２５において上記第１の命令識別子があると判定した場合は、ステ ップ６３０で復号化ずみマクロを走査し、第２の命令識別子の有無を判定する。 ステップ６３５でこのマクロが第２の容疑命令識別子を含むと判定した場合は、 ステップ６４０で復号化ずみマクロをその命令識別子組対応の未知のウイルスに よる汚染マクロとフラグ表示する。未知ウイルス検出に導いた命令識別子組に復 号化ずみマクロ関連づける情報をデータバッファ３１２に蓄積して、マクロ処置 モジュール３０６など他のモジュールが汚染マクロを然るべく処置できるように する。 ステップ６３５で第２の容疑命令識別子なしと判定した場合は、ステップ６４ ５でマクロウイルス走査モジュール３０４が命令識別子組にしたがって復号化マ クロ中には未知ウイルスなしと判定し、マクロウイルス走査方法６００を終了す る。ステップ６３５におけるこの判定は命令識別子の単一の組について行われる 。命令識別子の上記以外の組は復号化マクロを反復的に比較して、未知ウイルス の判定を可能にする。また、共通の第１の命令識別子の有無は、種々の代替的な 第２の命令識別子の探索の前に判定できる。 図７の流れ図を参照すると、好適な汚染マクロ処置方法７００が示してある。 ステップ７０５において、未知ウイルス判定フラグをチェックしてマクロウイル ス走査モジュール３０４が復号化ずみマクロの中に既知のウイルスを検出したか 否かを判定する。既知ウイルス判定フラグはデータバッファ３１２の中のマクロ 処置モジュール３０６、すなわち既知ウイルスの検出に用いたウイルス情報に復 号化ずみマクロを関連づけるモジュール３０６に供給する。ステップ７１５でこ のウイルス情報を用いて既知ウイルスを復号化ずみマクロから除去する。マクロ からのウイルスの除去は、ウイルスを非汚染命令（no-opなど）に置換すること によって行う。ウイルスは既知であるから、マクロの正常部分がそのまま残るよ うに選択的に除去できる。ウイルス除去ののち、ステップ７３５において処置ず みマクロをチェックしてその完全無欠性を検証する。処置ずみマクロの完全無欠 性が維持されていると判定した場合は、ステップ７４５で処置ずみマクロにマク ロ処置モジュール３０６で有効とフラグ表示する。処置ずみマクロは、そのマク ロの有効性関連データとともにデータバッファ３１２に蓄積しその状態に保つ。 ステップ７４０において上記完全無欠性が維持されていないと判定された場合は 、ステップ７５０においてその処置ずみマクロを無効とフラグ表示し、関連情報 をデータバッファ３１２に同様に蓄積する。 図７に戻って、既知のウイルスは復号化ずみマクロにないとマクロ処置モジュ ール３０６が判定した場合は、未知のウイルスを選択的に除去するようにマクロ を処置する。復号化ずみマクロの中の未知のウイルスの検出に用いた命令識別子 の組をデータバッファ３１２の中のマクロ処置モジュール３０６に利用できる。 この命令識別子の組は例えば第１および第２の容疑命令識別子を含む。ステップ ７２０では第１の容疑命令識別子をその識別子対応の容疑命令の各々の位置特定 に用いる。マクロウイルス走査モジュール３０４の用いる命令の検出に関連づけ て説明した手法を用いて上記命令を位置特定するのに復号化ずみマクロを走査で きる。命令識別子が命令全体でなく命令の断片と対応する場合は、マクロ処置モ ジュール３０６が検出された断片の各々を命令全体に関連づける。この関連づけ はマクロの用いるプログラム用言語に左右される。この関連づけには慣用の手法 を使用できる。ステップ７２５では追加の容疑命令識別子を対応の容疑命令の検 出に用いる。次に、ステップ７３０で、位置特定した容疑命令を置換する。既知 のウイルスストリングの置換と同様に、容疑命令を非汚染命令と置換するのが好 ましい。マクロの完全無欠性を検証し、完全無欠性維持の有無に応じて処置ずみ マクロにフラグ表示し、マクロ処置方法７００を終了する。 図８を参照すると、この発明による好ましい訂正方法８００が示してある。フ ァイル訂正モジュール３１０はデータバッファ３１２および種々のモジュール３ ０２、３０４、３０６、３０８、３１０と信号授受し、検出されたマクロウイル スや汚染マクロ含有の検出された対象ファイルなどの情報にアクセスする。ステ ップ８０５でマクロウイルス含有の対象ファイルをデータバッファ３１２に蓄積 する。対象ファイルを元の位置でアクセスしその汚染マクロとともにデータバッ ファ３１２にコピーするのが好ましい。次に、ファイル訂正モジュール３１０は 対象ファイルの中のマクロを処置ずみマクロに置換するか代替的訂正手法を用い るかによって訂正動作を行う。ステップ８１０でマクロ有効性フラグをチェック し、対象ファイル対応の処置ずみマクロの完全無欠性を判定する。処置ずみマク ロが有効と表示されている場合は、ファイル訂正モジュール３１０が対象ファイ ルの中の汚染マクロを処置ずみマクロで置換する。ステップ８１０では、汚染マ クロは対象ファイル中で位置特定される。この動作はオペレーティングシステム ２０２の情報共用資源（OLE）を用いて行う。ステップ８２０では、位置特定し たマクロを情報共用資源の利用により対象ファイルから除去し、そのマクロ抜き の対象ファイルのバージョンをデータバッファ３１２に蓄積する。ステップ８２ ５では、マクロ処置モジュール３０６の発生した処置ずみマクロをそのマクロ抜 きの対象ファイルのバージョンに加えて訂正ずみファイルを発生する。ステップ ８３０では、この訂正ずみファイルを元の位置で対象ファイルの代わりに入れる のに用いる。訂正ずみファイルで初めからの対象ファイルを直接に置換すること もできる。また、対応の対象ファイルは消去または上書きでき、訂正ずみのファ イルは任意の位置に蓄積できる。 ステップ８１０に戻ると、対象ファイル対応の処置ずみマクロを無効とフラグ 表示し、この処置ずみマクロは汚染マクロの置換には用いないのが好ましい。す なわち、ステップ８３５では、ユーザのコンフィギュレーション設定に応じて、 ファイル訂正モジュールで代替の訂正動作を行う。多様な代替の訂正過程、すな わち対象ファイルがウイルスを含む旨をユーザに知らせる、対象ファイルからの 汚染ファイルの除去を置換なしに行う、または目標ファイルを消去するなど代替 の訂正過程が認識されよう。 特定の実施例を参照してこの発明を上に説明してきたが、種々の変形が可能で あることは当業者に認識されよう。例えば、種々のモジュールについてアクセス 、位置特定、復号化、検出および訂正の系列を説明してきたが、マクロ中で未知 の ウイルスを検出する際に等価の機能を発揮する通常のモジュールに種々のプロセ スを取り込めることは理解されよう。上記実施例のこれらのおよびこれら以外の 変形および改変をこの発明は提供するものであり、この発明の範囲は添付請求の 範囲のみによって限定されるものである。 ブロック図（図１−３）および流れ図（図４−８） の各構成部分の対応訳 （図１） 102 表示装置 104 中央処理装置（CPU） 106 メモリ装置 108 入力装置 110 データ蓄積装置 112 通信ユニット （図２） 202 オペレーティングシステム 204 アプリケーションプログラム 206 マクロウイルス検出モジュール （図３） 206 マクロウイルス検出モジュール 302 マクロ位置特定および復号化モジュール 304 マクロウイルス走査モジュール 306 マクロ処置モジュール 308 ウイルス情報モジュール 310 ファイル訂正モジュール 312 データバッファ （図４） 420 ファイルにアクセスする 500 ファイルからのマクロを位置特定し復号化する 440 マクロ有り？ 600 ウイルスについてマクロを走査する 460 ウイルス検出された？ 700 汚染マクロを処置する 800 汚染ファイルに対して訂正動作を行う （図５） 505 ファイル種類を判定する 510 テンプレートファイル？ 515 埋込みマクロ含有の有無を判定するようにファイルを調べる 520 埋込みファイル有り？ 525 ファイル中でマクロを位置特定する 530 走査のためにマクロを復号化する 535 復号化ずみマクロをバッファに蓄積する 540 ファイル中にマクロ常駐なしと判定する （図６） 605 既知ウイルスについて走査する 610 既知ウイルス有り？ 615 未知ウイルス特定用の比較データを取り込む 620 比較データからの第１の命令識別子を用いマクロを走査する 625 第１の容疑命令有り？ 630 比較データからの第２の命令識別子を用いマクロを走査する 635 第２の容疑命令有り？ 640 この命令識別子組対応の未知ウイルスで汚染とマクロにフラグ表示する 645 この命令識別子組によるマクロの汚染なしと判定する 650 既知ウイルスによる汚染有りとマクロにフラグ表示する （図７） 705 既知ウイルス判定フラグをチェックする 710 既知ウイルス有り？ 715 既知ウイルスをマクロから除去する 720 第１命令識別子対応の各容疑命令を位置特定する 725 追加の命令識別子対応の各容疑命令を位置特定する 730 特定ずみの各容疑命令を非汚染命令で置換する 735 処置ずみマクロの完全無欠性を検証する 740 完全無欠性は維持されている？ 745 処置ずみマクロを有効とフラグ表示する 750 処置ずみマクロを無効とフラグ表示する （図８） 805 対象ファイルをデータバッファに蓄積する 810 マクロ有効性フラグ表示有り？ 815 対象ファイル中でマクロを位置特定する 820 対象ファイルからマクロを除去しマクロなしファイルの複製を蓄積する 825 処置ずみマクロをマクロ除去ずみファイルに加える 830 対象ファイルを訂正ずみファイルで置換する

───────────────────────────────────────────────────── フロントページの続き (72)発明者 チェン，エヴァ ワイ. アメリカ合衆国 カリフォルニア州 95014 クペルティーノ，オレンジ アヴ ェニュー 10408 (72)発明者 ロー，ジョニー ティー. 台湾 シン チュウ カウンティ，チュウ トゥン タウン，クァン ミン ロー ド，アリー 56，54 (72)発明者 デン，ミン エム. 台湾 台北，ユン ホー ストリート レ ーン 75，２ フロア ナンバー ５ (72)発明者 チー，レータ エム. 台湾 台北，リン イ ストリート レー ン33，１ フロア ナンバー 30 【要約の続き】 を位置特定し、その容疑命令を除去して処置ずみマクロ を生ずる。ファイル訂正モジュール（３１０）は、汚染 マクロ含有の対象ファイルにアクセスし、マクロ処置モ ジュール（３０６）からの処置ずみマクロでその汚染マ クロを置換する。

Claims (1)

1. 【特許請求の範囲】 １．プロセッサおよびメモリ装置を含むコンピュータシステムにおいてマクロの 中のウイルスを検出する方法であって、 ウイルス検出のための情報を含む比較データを得る過程と、 マクロを読み込む過程と、 復号化ずみマクロを生ずるように前記マクロを復号化する過程と、 前記復号化ずみマクロを前記比較データと比較することによってウイルスにつ いて前記復号化ずみマクロを走査する過程と を含む方法。 ２．前記復号化ずみマクロを走査する過程がそのマクロの前記ウイルスによる汚 染を示す場合に処置ずみマクロを生ずるように前記マクロから前記ウイルスを除 去する過程 をさらに含む請求項１記載の方法。 ３．前記マクロを読み込む過程が、 対象ファイルがテンプレートファイルであるか否かを判定する過程と、 前記対象ファイルがテンプレートファイルでない場合にその対象ファイルが埋 込みマクロを含むか否かを判定する過程と、 前記対象ファイルがテンプレートファイルを含む場合に前記埋込みマクロを位 置特定する過程と を含む請求項１記載の方法。 ４．前記比較データが第１の容疑命令識別子および第２の容疑命令識別子を含む 請求項１記載の方法。 ５．前記ウイルスについて前記復号化ずみデータを走査する過程が、 前記復号化ずみマクロが前記第１の容疑命令識別子に対応する第１の部分を含 むか否かを判定する過程と、 前記復号化ずみマクロが前記第２の容疑命令識別子に対応する第２の部分を含 むか否かを判定する過程と、 前記復号化ずみマクロが前記第１および第２の部分を含む場合に前記復号化ず みマクロが前記ウイルスを含むと判定する過程と を含む請求項４記載の方法。 ６．前記第１の容疑命令識別子がマクロウイルスイネーブル化命令を検出する請 求項５記載の方法。 ７．前記第２の容疑命令識別子がマクロウイルス複製命令を検出する請求項６記 載の方法。 ８．前記ウイルスを除去する過程が、 前記第１の容疑命令識別子に対応する第１のマクロ命令を前記復号化ずみマク ロの中で位置特定する過程と、 前記第１の容疑マクロ命令を除去する過程と を含む請求項２記載の方法。 ９．前記処置されたマクロの完全無欠性を検証する過程と、 前記処置されたマクロの完全無欠性検証に応じて、対象ファイルの中の前記汚 染マクロを修復ずみマクロに置換する過程と をさらに含む請求項８記載の方法。 １０．前記第１の容疑マクロ命令を除去する過程が前記第１の容疑命令を非汚染 命令に置換する過程を含む請求項８記載の方法。 １１．前記ウイルスを除去する過程が、 前記第２の容疑命令識別子に対応する第２の容疑マクロ命令を前記復号化ずみ マクロの中で位置特定する過程と、 処置ずみマクロを生ずるように前記第２の容疑マクロ命令を前記復号化ずみマ クロから除去する過程と を含む請求項８記載の方法。 １２．前記比較データが複数の容疑命令識別子組を含む請求項１記載の方法。 １３．第１の容疑命令識別子組がストリング73 CB 00 0C 6C 01 00および67 C2 80を含む請求項１２記載の方法。 １４．第２の容疑命令識別子組がストリング73 CB 00 0C 6C 01 00および64 6F 02 67 DE 00 73 87 01 12 73 7Fを含み、第３の容疑命令識別子組がストリング7 3 CB 00 0C 6C 01 00および6D 61 63 72 6F 73 76 08を含み、第４の容疑命令識 別子組がストリング12 6C 01 00および64 67 C2 80 6A 0F 47を含み、第５の容 疑命令識別子組がストリング79 7C 66 6F 72 6D 61 74 20 63 6Aおよび80 05 6A 07 43 4F 4Dを含む請求項１３記載の方法。 １５．プロセッサおよびメモリ装置を含むコンピュータシステムにおいてマクロ 中のウイルスを検出する方法であって、 マクロ読み込む過程と、 第１の容疑命令識別子および第２の容疑命令識別子を含み、ウイルスを検出す るための比較データを得る過程と、 前記第１の容疑命令識別子に対応する第１の部分を前記マクロが含むか否かを 判定するように前記マクロを走査する過程と、 前記第２の容疑命令識別子に対応する第２の部分を前記マクロが含むか否かを 判定するように前記マクロを走査する過程と、 前記マクロが前記第１および第２の部分を含んでいた場合に前記マクロが前記 ウイルスで汚染されていたと判定する過程と を含む方法。 １６．前記マクロが前記第１および第２の部分を含むと判定された場合に処置ず みマクロを生ずるように前記マクロを処置する過程 をさらに含む請求項１５記載の方法。 １７．前記マクロを処置する過程が、 前記第１の容疑命令識別子に対応する第１のマクロ命令を前記汚染マクロの中 で位置特定する過程と、 前記汚染マクロを修復するように前記第１のマクロ命令を前記汚染マクロから 除去する過程と を含む請求項１６記載の方法。 １８．前記マクロを処置する過程が、 前記第２の容疑命令識別子に対応する第２のマクロ命令を前記汚染マクロの中 で位置特定する過程と、 前記汚染マクロを修復するように前記第２のマクロ命令を前記汚染マクロから 除去する過程と を含む請求項１７記載の方法。 １９．前記マクロを読み込む過程が、 対象ファイルにアクセスする過程と、 前記対象ファイルがテンプレートファイルであるかどうかを判定する過程と、 そのファイルがテンプレートファイルであった場合にそのファイルが埋込みマ クロを含むか否かを判定する過程と、 そのファイルが埋込みマクロを含む場合にその埋込みマクロを位置特定する過 程と を含む請求項１５記載の方法。 ２０．前記第１の容疑命令識別子がストリング73 CB 00 0C 6C 01 00を含み、前 記第２の容疑命令識別子がストリング67 C2 80を含む請求項１５記載の方法。 ２１．前記比較データが複数の容疑命令識別子を含む請求項１５記載の方法。 ２２．第１の容疑命令識別子組がストリング73 CB 00 0C 6C 01および67 C2 82 を含み、第２の容疑命令識別子組がストリング73 CB 00 0C 6C 01 00および64 6 F 02 67 DE 00 73 87 01 12 73 7Fを含み、第３の容疑命令識別子組がストリン グ73 CB 00 0C 6C 01 00および6D 61 63 72 6F 73 76 08を含み、第４の容疑命 令識別子組がストリング12 6C 01 00および64 67 C2 80 6A 0F 47を含み、第５ の容疑命令識別子組がストリング79 7C 66 6F 72 6D 61 74 20 63 6Aおよび80 0 5 6A 07 43 4F 4Dを含む請求項２１記載の方法。 ２３．対象ファイルにアクセスする過程と、 前記対象ファイルの中で前記マクロを位置特定する過程と、 前記マクロを前記対象ファイルから除去する過程と、 修復ずみファイルを生ずるように前記処置されたマクロを前記対象ファイルに 加える過程と をさらに含む請求項１５記載の方法。 ２４．マクロの中のウイルスを検出する装置であって、 第１の容疑命令識別子および第２の容疑命令識別子を含みウイルスを検出する ための比較データを蓄積するウイルス情報モジュールと、 前記ウイルス情報モジュールと信号授受して、前記比較データを受けるととも に、前記マクロが前記第１の容疑命令識別子対応の第１の部分および前記第２の 容疑命令識別子対応の第２の部分を含むか否かを判定するように前記マクロを走 査するマクロウイルス走査モジュールと を含む装置。 ２５．前記マクロウイルス走査モジュールと信号授受して、対象ファイルにアク セスし、その対象ファイルがテンプレートファイルであるか否かを判定し、その 対象ファイルが埋込みマクロを含むか否かを判定し、復号化ずみマクロを生ずる ようにそのマクロを復号化するマクロ位置特定および復号化モジュール をさらに含む請求項２４記載の装置。 ２６．前記ウイルス情報モジュールと信号授受して、前記復号化ずみマクロにア クセスし前記第１の容疑命令識別子対応の第１のマクロ命令および前記第２の容 疑命令識別子対応の第２のマクロ命令を除去し処置ずみマクロを生ずるマクロ処 置モジュール をさらに含む請求項２５記載の装置。 ２７．前記マクロ処置モジュールと信号授受して、前記対象ファイルにアクセス し前記対象ファイルの中でマクロを位置特定しその対象ファイルからそのマクロ を除去し前記処置ずみマクロを前記対象ファイルに加えて訂正ずみファイルを生 ずるファイル訂正モジュール をさらに含む請求項２６記載の装置。 ２８．前記第１の命令識別子がストリング73 CB 00 0C 6C 01 00を含み、前記第 ２の命令識別子がストリング67 C2 80を含む請求項２７記載の方法。 ２９．前記比較データが複数の容疑命令識別子組を含む請求項２７記載の方法。 ３０．第１の容疑命令識別子組がストリング73 CB 00 0C 6C 01 00および67 C2 82を含み、第２の容疑命令識別子組がストリング73 CB 00 0C 6C 01 00および64 6F 02 67 DE 00 73 87 01 12 73 7Fを含み、第３の容疑命令識別子組がストリ ング73 CB 00 0C 6C 01 00および6D 61 63 72 6F 73 76 08を含み、第４の容疑 命令識別子組がストリング12 6C 01 00および64 67 C2 80 6A 0F 47を含み、第 ５の容疑命令識別子組がストリング79 7C 66 6F 72 6D 61 74 20 63 6Aおよび80 05 6A 07 43 4F 4Dを含む請求項２９記載の方法。 ３１．マクロの中のウイルスを検出する装置であって、 第１の容疑命令識別子および第２の容疑命令識別子を含む比較データをウイル ス検出用に得る手段と、 前記第１の容疑命令識別子対応の第１の部分をマクロが含むか否かを判定する ように前記マクロを走査する手段と、 前記第２の容疑命令識別子対応の第２の部分をマクロが含むか否かを判定する ように前記マクロを走査する手段と、 前記第１および第２の部分を含んでいた場合に前記マクロがウイルスに汚染さ れていると判定する手段と を含む装置。 ３２．前記第１の容疑命令識別子および前記第２の容疑命令識別子にそれぞれ対 応する第１のマクロ命令および第２のマクロ命令を前記マクロの中で位置特定す る手段と、 処置ずみマクロを生ずるように前記第１のマクロ命令および前記第２のマクロ 命令を前記マクロから除去する手段と をさらに含む請求項３１記載の装置。 ３３．対象ファイルにアクセスしその対象ファイルがマクロを含むか否かを判定 する手段をさらに含む請求項３２記載の装置。 ３４．前記対象ファイルにアクセスする手段と、前記マクロを前記対象ファイル から除去する手段と、訂正ずみファイルを生ずるように前記処置ずみマクロを前 記対象ファイルに加える手段とを含むファイル訂正手段 をさらに含む請求項３３記載の装置。 ３５．マクロの中のウイルスを検出するシステムであって、 第１の容疑命令識別子および第２の容疑命令識別子を含むウイルス検出用比較 データおよびルーチンを蓄積するメモリ装置と、 前記メモリ装置と信号授受し、前記マクロが前記第１の容疑命令識別子対応の 第１の部分および前記第２の容疑命令識別子対応の第２の部分を含むか否かを判 定するように前記比較データを受けるとともに前記マクロを走査するプロセッサ と を含むシステム。