JP2005148814A

JP2005148814A - ファイルアクセス監視装置、方法、プログラムおよび記録媒体

Info

Publication number: JP2005148814A
Application number: JP2003381129A
Authority: JP
Inventors: Kazumi Kobayashi; 一三小林
Original assignee: Business Eggs; BUSINESS EGGS KK
Current assignee: Business Eggs; BUSINESS EGGS KK
Priority date: 2003-11-11
Filing date: 2003-11-11
Publication date: 2005-06-09

Abstract

【課題】コンピュータウイルス等の悪性ソフトウェアを検知する。
【解決手段】実行形式ファイル（プログラム）を記録するアプリケーションファイル記録部１４と、アプリケーションファイル記録部１４に記録された実行形式ファイルを実行するファイル実行部２４と、ファイル実行部２４による実行が異常なものであるか否かを判定するファイルアクセス判定部４２とを備え、ファイルアクセス判定部４２は、（１）レジストリ記録部１２に記録されたレジストリの書き換え、（２）アプリケーションファイル記録部１４に記録されたプログラムの書き換え（３）、システムファイル記録部１６へのファイルの書込み、（４）システムファイル記録部１６に記録されたファイルの書き換え、といった動作を悪性ソフトウェアによる異常な動作であると判定する。
【選択図】図１

Description

本発明はコンピュータウイルス等の悪性ソフトウェアの検知に関する。

近年、コンピュータに感染するコンピュータウイルスが蔓延し、コンピュータに多大な被害を与えている。そこで、コンピュータウイルスを検知および駆除するアンチウイルスソフトをコンピュータにインストールして被害を防止することが広く行なわれている。アンチウイルスソフトは、過去に発見されたウイルスに固有のコードを記録したデータベースと、コンピュータに記録されたファイルのコードとを対比し、一致するか否かでコンピュータウイルスを検知する。例えば、コンピュータウイルスのデータベースを用いてウイルスの検出を行なう技術が特許文献１に記載されている。

特開２００３−２１６４４５号公報（要約）

しかしながら、上記のような従来技術によれば、新種または変種のコンピュータウイルスを検知できない。新種または変種のコンピュータウイルスに固有のコードは、コンピュータウイルスのデータベースには記録されていないからである。

そこで、本発明は、新たなコンピュータウイルス等の悪性ソフトウェアであっても検知できるようなコンピュータウイルス等の悪性ソフトウェアの検知法などを提供することを課題とする。

請求項１に記載された発明であって、実行形式ファイルを記録するファイル記録手段と、ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段と、ファイル実行手段による実行が異常なものであるか否かを判定する実行判定手段とを備えるように構成される。

上記のように構成された発明によれば、ファイル記録手段は、実行形式ファイルを記録する。ファイル実行手段は、ファイル記録手段に記録された実行形式ファイルを実行する。実行判定手段は、ファイル実行手段による実行が異常なものであるか否かを判定する。

請求項２に記載された発明であって、請求項１に記載の発明であって、異常な実行は悪性ソフトウェアに感染する際に引き起こされるものであるように構成される。

請求項３に記載された発明であって、請求項１または２に記載の発明であって、ファイル実行判定手段は、実行の目的物である実行対象ファイルの種類および実行の目的に基づき、実行が異常なものであるか否かを判定するように構成される。

請求項４に記載された発明であって、請求項３に記載の発明であって、ファイル実行判定手段は、さらに実行の主体に基づき、実行が異常なものであるか否かを判定するように構成される。

請求項５に記載された発明であって、請求項３または４に記載の発明であって、ファイル実行判定手段は、実行対象ファイルの種類が実行形式ファイルの動作を設定するための所定の設定ファイルであり、実行の目的が書き換えである場合に、実行が異常なものである可能性があると判定するように構成される。

請求項６に記載された発明であって、請求項５に記載の発明であって、所定の設定ファイルは、システムファイルあるいはレジストリであるように構成される。

請求項７に記載された発明であって、請求項５に記載の発明であって、所定の設定ファイルは、ファイル実行監視装置の起動時に実行される実行形式ファイルを設定するためのファイルであるように構成される。

請求項８に記載された発明であって、請求項３または４に記載の発明であって、ファイル記録手段は、システムファイルを記録するシステムファイル記録領域を有し、ファイル実行判定手段は、システムファイル記録領域にファイルが書き込まれる場合に、実行が異常なものである可能性があると判定するように構成される。

請求項９に記載された発明であって、請求項３または４に記載の発明であって、ファイル実行判定手段は、実行対象ファイルの種類が電子メールアドレスを記録した電子メールアドレス記録ファイルであり、実行の目的が読み出しである場合に、実行が異常なものである可能性があると判定するように構成される。

請求項１０に記載された発明であって、請求項３または４に記載の発明であって、ファイル実行判定手段は、実行対象ファイルの種類が実行形式ファイルであり、実行の目的が書き換えである場合に、実行が異常なものである可能性があると判定するように構成される。

請求項１１に記載された発明であって、請求項１に記載の発明であって、ファイル実行判定手段は、実行が異常なものであると判定した場合に警告を表示器に表示させるように構成される。

請求項１２に記載された発明であって、請求項１に記載の発明であって、ファイル実行判定手段は、実行が異常なものであると判定した場合に実行をファイル実行手段に中止させるように構成される。

請求項１３に記載された発明であって、実行形式ファイルを記録するファイル記録工程と、ファイル記録工程により記録された実行形式ファイルを実行するファイル実行工程と、ファイル実行工程による実行が異常なものであるか否かを判定する実行判定工程とを備えるように構成される。

請求項１４に記載された発明であって、実行形式ファイルを記録するファイル記録手段と、ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段とを有するコンピュータにファイル実行監視処理を実行させるためのプログラムであって、ファイル実行手段による実行が異常なものであるか否かを判定する実行判定処理をコンピュータに実行させるためのプログラムである。

請求項１５に記載された発明であって、実行形式ファイルを記録するファイル記録手段と、ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段とを有するコンピュータにファイル実行監視処理を実行させるためのプログラムを記録したコンピュータによって読み取り可能な記録媒体であって、ファイル実行手段による実行が異常なものであるか否かを判定する実行判定処理をコンピュータに実行させるためのプログラムを記録したコンピュータによって読み取り可能な記録媒体である。

以下、本発明の実施形態を図面を参照しながら説明する。

図１は、本発明の実施形態にかかるファイルアクセス監視装置１の構成を示す図である。

ファイルアクセス監視装置１は、レジストリ記録部１２、アプリケーションファイル記録部１４、システムファイル記録部１６、データファイル記録部１８、レジストリ読出部２２、ファイル実行部２４、レジストリ書換部３２、ファイルアクセス判定部（実行判定部）４２、ディスプレイ（表示器）５２、入力部５４を備える。

ファイルアクセス監視装置１は、一般的なパーソナルコンピュータである。特に、Microsoft（マイクロソフト）社の販売するオペレーティングシステムであるWindows（登録商標）をインストールしたパーソナルコンピュータであることを想定している。ファイルアクセス監視装置１は、ＣＰＵ、ハードディスク、メモリ、メディア（フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭなど）読み取り装置を備えている。

レジストリ記録部１２は、アプリケーションファイル記録部１４に記録されたアプリケーションプログラムやシステムファイル記録部１６に記録されたプログラムの設定情報が書き込まれたレジストリという設定ファイルの一種を記録するものである。なお、レジストリは、Windows（登録商標）に実装されている周知のものであり、詳細な説明を省略する。また、レジストリに設定情報を書き込むことが可能ではあるが、アプリケーションファイル記録部１４およびシステムファイル記録部１６にも設定情報を記録した設定ファイルを書き込んでおくことも可能である。

アプリケーションファイル記録部１４は、アプリケーションプログラム（実行形式のファイル）やそのアプリケーションプログラムを設定するための設定情報を記録した設定ファイルが記録されている。

例えば、図２に示すように、アプリケーションファイル記録部１４は、メーラ１４０を記録する。メーラ１４０はアプリケーションプログラム（実行形式のファイル）であり、電子メールを送受信するためのプログラムである。

しかも、アプリケーションファイル記録部１４は、アドレス帳１４０ａを記録する。アドレス帳１４０ａは、特定の電子メールアドレスと、その別名が記録されている。ファイルアクセス監視装置１の利用者は、メーラ１４０を介して、アドレス帳１４０ａを利用できる。具体的には、アドレス帳１４０ａに記録された別名を指定すれば、その別名に対応したメールアドレスを表示させるといったことができる。アドレス帳１４０ａは、メーラ１４０の設定するための設定情報（メールアドレスおよび別名）を記録した設定ファイルといえる。

さらに、アプリケーションファイル記録部１４が記録するアプリケーションプログラムには、例えば、電子メールに添付された添付ファイルも含まれる。

システムファイル記録部１６は、オペレーティングシステムを構成するプログラムおよびそれを設定するための設定情報を記録したファイルが記録されている。

例えば、図３に示すように、システムファイル記録部１６は、スタートアップファイル１６ａを記録する。スタートアップファイル１６ａは、ファイルアクセス監視装置１の起動時に実行されるプログラムを指定するための設定ファイルである。

データファイル記録部１８は、ファイル実行部２４がプログラムを実行した結果をデータファイルとして記録する。例えば、Microsoft（マイクロソフト）社の販売するMicrosoft
Word（商品名）というプログラムファイルを実行した結果、文書ファイルが作成され、データファイル記録部１８に記録される。

なお、レジストリ記録部１２、アプリケーションファイル記録部１４、システムファイル記録部１６およびデータファイル記録部１８は、ハードディスクにより実装される。

レジストリ読出部２２は、レジストリ記録部１２から設定情報を読み出し、ファイル実行部２４に送る。

ファイル実行部２４は、レジストリ読出部２２から設定情報を受ける。あるいは、アプリケーションファイル記録部１４およびシステムファイル記録部１６に記録された設定ファイルを読み出して、設定情報を取得する。そして、それらの設定情報に基づき、アプリケーションファイル記録部１４およびシステムファイル記録部１６に記録されたプログラムを実行する。実行の結果は、データファイル記録部１８に書き込まれたり、ディスプレイ（表示器）５２に表示されたりする。なお、ファイル実行部２４は、入力部５４を介しての利用者の入力に基づき、プログラムを実行するようにすることが好ましい。また、ファイル実行部２４は、インターネットなどのネットワークに接続され、電子メールなどの通信を行なう。

このように、ファイル実行部２４は、（１）レジストリ記録部１２に記録されたレジストリの書き換え、（２）アプリケーションファイル記録部１４に記録されたプログラムの書き換え、（３）システムファイル記録部１６へのファイルの書込み、（４）システムファイル記録部１６に記録されたファイルの書き換え、といった動作を通常は行なわない。

ここで、コンピュータウイルスの一般的な動作を図４のフローチャートを参照して説明する。まず、コンピュータウイルスはコンピュータのハードディス等に自らをコピーする。これを感染（Ｓ１００）という。そして、その後、所定の期間が満了するまであるいは所定の期日が到来するまで、利用者に気づかれやすいような動作を行なわない。これを潜伏（Ｓ１１０）という。最後に、ハードディスクのフォーマットやファイルの破壊といった、利用者にとって好ましからざる動作を行なう。これを発病（Ｓ１２０）という。

なお、図４を参照して説明した動作は、コンピュータウイルスに限らず、利用者の利用するコンピュータのシステム情報を第三者に勝手に送信するスパイウェア、クラッキング（ハッキング）専用のソフトウェアであるクラッキングツール、コンピュータの不正な遠隔操作を可能とするソフトウェア（RATs : Remote Administration Trojans）（これはトロイの木馬の一種）といったコンピュータ・ペストについてもあてはまる。すなわち、図４を参照して説明した動作は、コンピュータウイルスおよびコンピュータ・ペスト等の悪性ソフトウェアについてあてはまるものである。

（１）〜（４）のような動作が行なわれる場合は、コンピュータウイルス等の悪性ソフトウェアが感染しようとしている場合が多い。

例えば、電子メールに添付された添付ファイルがプログラムファイルであって、コンピュータウイルスであったとする。この場合、コンピュータウイルスである添付ファイルが実行されると、システムファイル記録部１６（例えば、システムファイルが記録されるフォルダ（例、%WinDir%\system32））にコンピュータウイルスを書込み（（３）に相当）、レジストリを書き換える（（１）に相当）。さらには、スタートアップファイル１６ａを書き換え、コンピュータウイルスがファイルアクセス監視装置１の起動時に実行されるようにする（（４）に相当）。

この他にも、コンピュータウイルスが他のコンピュータにも感染しようとして、電子メールを自動的に発信しようとすることがある。この場合、電子メールの宛先を取得するために、アドレス帳１４０ａを読み出して、電子メールアドレスを取得することがある。もっとも、アドレス帳１４０ａの読み出しは、利用者がメーラ１４０を介して行なうことも多いため、アドレス帳１４０ａの読み出しの主体によって、正常な利用か否かが分かれる。読み出しの主体がメーラ１４０ならば正常な利用であろうし、他のプログラムならば異常な利用、すなわちコンピュータウイルスの活動であろう。

このように、ファイル実行部２４による実行の目的物である実行対象ファイルの種類、実行の目的および実行の主体といったことによりウイルスの感染の際の動作か否かが判別できる。

例えば、電子メールに添付された添付ファイルがプログラムファイルであって、コンピュータウイルスであったとする。このとき、コンピュータウイルスである添付ファイルが実行され、レジストリが書き換えられたとする。この場合は、実行の目的物である実行対象ファイルはレジストリであり、実行の目的は書き換えであり、実行の主体は電子メールに添付された添付ファイルである。

レジストリ書換部３２は、レジストリ記録部１２に記録されたレジストリを、入力部５４を介しての利用者の入力に基づき、レジストリを書き換える。これは、例えば、REGEDITといったWindows（登録商標）に組みこまれたプログラムにより実装される。

ファイルアクセス判定部４２は、ファイル実行部２４が行なうプログラムファイルの実行によるレジストリ記録部１２、アプリケーションファイル記録部１４およびシステムファイル記録部１６への影響を監視し、ファイル実行部２４による実行が異常であるか否かを判定する。異常な実行としては、（１）レジストリ記録部１２に記録されたレジストリの書き換え、（２）アプリケーションファイル記録部１４に記録されたプログラムの書き換え、（３）システムファイル記録部１６へのファイルの書込み、（４）システムファイル記録部１６に記録されたファイルの書き換え、（５）アドレス帳１４０ａの読み出し、が挙げられる。ただし、（１）〜（５）のいずれかに該当したからといって、ただちに異常な実行とせずに、その実行の主体によって、異常か否かを判定してもよい。例えば、アドレス帳１４０ａの読み出しという実行の主体がメーラ１４０とは異なるプログラムならば異常な実行であると判定する。

ファイルアクセス判定部（実行判定部）４２は、異常な実行であると判定した場合、ファイル実行部２４にかかる実行の中止を指示する。あるいは、実行を一時的に中止してから、ディスプレイ（表示器）５２に、「ウイルス感染の恐れがある」旨のメッセージを表示する。この場合は、さらに利用者から「アクセスの実行中止」の旨を入力部５４を介して入力された場合に、ファイル実行部２４にかかる実行の完全な中止を指示する。

なお、レジストリ読出部２２、ファイル実行部２４、レジストリ書換部３２およびファイルアクセス判定部４２は、CPUがハードディスクあるいはメモリに記録されたプログラムを読み出して実行することにより遂行される機能である。なお、ファイルアクセス監視装置１のメディア読み取り装置に、ファイルアクセス判定部４２を実現するプログラムを記録したメディアを読み取らせて、ハードディスクにインストールする。これにより、ファイルアクセス判定部４２を実装できる。

ディスプレイ（表示器）５２は、ファイル実行部２４の実行結果およびファイルアクセス判定部４２からの「ウイルス等の悪性ソフトウェアに感染の恐れがある」旨の警告メッセージを表示するためのディスプレイである。

入力部５４は、ファイル実行部２４、レジストリ書換部３２およびファイルアクセス判定部４２に利用者の入力を与えるためのものであり、例えば、キーボード、マウスにより実装される。

次に、本発明の実施形態の動作を説明する。

図５は、ファイルアクセス監視装置１の動作を示すフローチャートである。

まず、ファイルアクセス判定部４２を起動して、ファイルへのアクセス監視を開始する（Ｓ１０）。ファイルアクセス判定部４２を、ファイルアクセス監視装置１の起動時に立ち上げて常駐させておくとよい。

その次に、ファイルアクセス判定部４２は、ファイル実行部２４による実行が異常であるか否かを判定する（Ｓ１２）。実行が異常であるか否かの判定は、実行対象ファイルの種類および実行の目的に基づき行なう。

ここで、実行が正常であると判定されたならば（Ｓ１２、Ｎｏ）、実行の異常判定（Ｓ１２）に戻る。

一方、実行が異常であると判定されたならば（Ｓ１２、Ｙｅｓ）、とりあえず、ファイルアクセス判定部４２は、その実行をファイル実行部２４に一時的に中止させる（Ｓ１３）。

そして、実行の主体が異常であるか否かを判定する（Ｓ１４）。実行の主体が異常であると判定されたならば（Ｓ１４、Ｙｅｓ）、ファイルアクセス判定部４２は、ディスプレイ５２に「ウイルス等の悪性ソフトウェアに感染の恐れがある」旨の警告メッセージを表示する（Ｓ１６）。そして、ユーザが入力部５４によって実行中止を許可する旨の信号をファイルアクセス判定部４２に送れば（Ｓ１８、Ｙｅｓ）、実行は完全に中止される（Ｓ２０）。例えば、実行をプロセスという周知の概念で把握している場合は、そのプロセスを削除する。そして、実行の異常判定（Ｓ１２）に戻る。

なお、実行の主体が正常である（Ｓ１４、Ｎｏ）、あるいは、ユーザが入力部５４によって実行中止を許可しない旨の信号をファイルアクセス判定部４２に送る（Ｓ１８、Ｎｏ）、場合は、実行の一時的な中止（Ｓ１３）を解除（Ｓ２２）し、実行の異常判定（Ｓ１２）に戻る。

なお、ファイルアクセス監視装置１は任意の時点で電源を断つことにより終了する（Ｓ２４）。

本発明の実施形態によれば、コンピュータウイルス等の悪性ソフトウェアが感染しようとしている際のファイル実行部２４の動作を、ファイルアクセス判定部４２が異常な動作と判定し、動作の中止を行なう。よって、コンピュータウイルス等の悪性ソフトウェアの感染の直前で、コンピュータウイルス等の悪性ソフトウェアへの感染を防止できる。

なお、コンピュータウイルスの検出と、コンピュータ・ペストの検出とではロジックが異なるため、既存のコンピュータウイルス検出ソフトではコンピュータ・ペストを検出できない場合が多い。しかし、本発明の実施形態によればコンピュータ・ペストをも検出できるため有意義である。

しかも、異常な動作であるか否かの判定を、実行対象ファイルの種類および実行の目的のみならず実行の主体まで考慮して行なう。よって、異常な動作である可能性はあるものの、実行の主体によっては正常な動作（例えば、アドレス帳１４０ａの読み出し）については、異常な動作であると誤って判定せずにすむ。

本発明の実施形態にかかるファイルアクセス監視装置１の構成を示す図である。

アプリケーションファイル記録部１４の記録内容の一例を示す図である。

システムファイル記録部１６の記録内容の一例を示す図である。

コンピュータウイルスの一般的な動作を示すフローチャートである。

ファイルアクセス監視装置１の動作を示すフローチャートである。

符号の説明

１ファイルアクセス監視装置
１２レジストリ記録部
１４アプリケーションファイル記録部
１４０メーラ
１４０ａアドレス帳
１６システムファイル記録部
１６ａスタートアップファイル
１８データファイル記録部
２２レジストリ読出部
２４ファイル実行部
３２レジストリ書換部
４２ファイルアクセス判定部（実行判定部）
５２ディスプレイ（表示器）
５４入力部

Claims

実行形式ファイルを記録するファイル記録手段と、
前記ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段と、
前記ファイル実行手段による実行が異常なものであるか否かを判定する実行判定手段と、
を備えたファイル実行監視装置。
請求項１に記載のファイル実行監視装置であって、
前記異常な実行は悪性ソフトウェアに感染する際に引き起こされるものである、
ファイル実行監視装置。
請求項１または２に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行の目的物である実行対象ファイルの種類および前記実行の目的に基づき、前記実行が異常なものであるか否かを判定する、
ファイル実行監視装置。
請求項３に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、さらに前記実行の主体に基づき、前記実行が異常なものであるか否かを判定する、
ファイル実行監視装置。
請求項３または４に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行対象ファイルの種類が前記実行形式ファイルの動作を設定するための所定の設定ファイルであり、前記実行の目的が書き換えである場合に、前記実行が異常なものである可能性があると判定する、
ファイル実行監視装置。
請求項５に記載のファイル実行監視装置であって、
前記所定の設定ファイルは、システムファイルあるいはレジストリである、
ファイル実行監視装置。
請求項５に記載のファイル実行監視装置であって、
前記所定の設定ファイルは、ファイル実行監視装置の起動時に実行される実行形式ファイルを設定するためのファイルである、
ファイル実行監視装置。
請求項３または４に記載のファイル実行監視装置であって、
前記ファイル記録手段は、システムファイルを記録するシステムファイル記録領域を有し、
前記ファイル実行判定手段は、前記システムファイル記録領域にファイルが書き込まれる場合に、前記実行が異常なものである可能性があると判定する、
ファイル実行監視装置。
請求項３または４に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行対象ファイルの種類が電子メールアドレスを記録した電子メールアドレス記録ファイルであり、前記実行の目的が読み出しである場合に、前記実行が異常なものである可能性があると判定する、
ファイル実行監視装置。
請求項３または４に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行対象ファイルの種類が実行形式ファイルであり、前記実行の目的が書き換えである場合に、前記実行が異常なものである可能性があると判定する、
ファイル実行監視装置。
請求項１に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行が異常なものであると判定した場合に警告を表示器に表示させる、
ファイル実行監視装置。
請求項１に記載のファイル実行監視装置であって、
前記ファイル実行判定手段は、前記実行が異常なものであると判定した場合に前記実行を前記ファイル実行手段に中止させる、
ファイル実行監視装置。
実行形式ファイルを記録するファイル記録工程と、
前記ファイル記録工程により記録された実行形式ファイルを実行するファイル実行工程と、
前記ファイル実行工程による実行が異常なものであるか否かを判定する実行判定工程と、
を備えたファイル実行監視方法。
実行形式ファイルを記録するファイル記録手段と、前記ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段とを有するコンピュータにファイル実行監視処理を実行させるためのプログラムであって、
前記ファイル実行手段による実行が異常なものであるか否かを判定する実行判定処理、
をコンピュータに実行させるためのプログラム。
実行形式ファイルを記録するファイル記録手段と、前記ファイル記録手段に記録された実行形式ファイルを実行するファイル実行手段とを有するコンピュータにファイル実行監視処理を実行させるためのプログラムを記録したコンピュータによって読み取り可能な記録媒体であって、
前記ファイル実行手段による実行が異常なものであるか否かを判定する実行判定処理、
をコンピュータに実行させるためのプログラムを記録したコンピュータによって読み取り可能な記録媒体。