JP6468732B2 - ウィンドウのない状態での画面キャプチャを防止するための方法及びシステム - Google Patents

Description

本開示は、コンピュータセキュリティの分野に関する。より詳細には、本開示は、画面キャプチャ技法を利用するマルウェアによって私的ユーザデータが取得されるのを防止することに関する。

画面キャプチャは、ほとんどのコンピュータオペレーティングシステム中で利用可能な非常に有用なオプションであり、大多数のユーザが手放したがらないであろうものである。残念ながら、画面キャプチャオプションはまた、ユーザが自分の画面に入力した私的情報をマルウェアが取得するための扉も開く。例えば、ユーザが、銀行口座、又は、扱いに注意を要する他のウェブ位置にアクセスするとき、ユーザは、秘密情報を特定のフィールドにタイプ入力して、アクセスを得ることができる。このようなウィンドウが表示されたとき、このユーザのコンピュータにインストールされたマルウェアがアクティブ化される可能性があり、マルウェアは、画面をキャプチャし、したがって秘密情報もキャプチャする恐れがある。次いでマルウェアは、そのマルウェアの作成者に秘密情報を転送する恐れがある。

いくつかのセキュリティソフトウェアは、単純に、疑いを呼び起こす様々な条件下でシステムが画面キャプチャを実施できないようにすることによって、この問題に対処する。しかし、この手法は、潜在的なマルウェア攻撃の、多くの「偽陽性（false positive）」が結果的に識別されてしまうという大きな不都合を有し、このことは、ユーザが画面キャプチャを実施する必要があるときに実施できないというもどかしい状況につながる。これら及び他の欠点が存在する。

本開示は、前述の問題を軽減し、偽陽性判定の数を大幅に減らすための、方法及びソフトウェアエージェントを例示する。これにより、ユーザ体験が改善され、高レベルのセキュリティが維持されることになる。

本開示は、悪意ある画面キャプチャイベントを防止する、単純でありながらも効率的な方法を提供することができる。

本開示は、本開示の方法を実施するのに適した単純なソフトウェアエージェントを提供することができる。

本開示の他の目的及び利点は、記述が進むにつれて明らかになるであろう。

画面キャプチャの使用を介したマルウェアによるデータ取得を防止する工程を示すフローチャートである。 画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを示す図である。

本開示の一態様は、画面キャプチャ手法の使用を介したマルウェアによるデータ取得を防止する方法に関し、ウィンドウを開かない未確認（unidentified）プロセスが画面キャプチャを実施するのを阻止することを含む。

例示的な一実施形態によれば、プロセスは、ホワイトリストに含まれない場合に未確認とされる。本開示のこの実施形態では、ホワイトリストは常に更新されてよく、それにより、合法なプロセスが潜在的脅威と見なされ得る場合が過多になることが回避される。

別の実施形態によれば、マルウェアが画面キャプチャを実施することによってデータを取得するのを防止する際に、ソフトウェアエージェントが有用であることがある。ソフトウェアエージェントは、プロセスを分析して、プロセスがウィンドウを開くか否か判定するように構成される。

別の実施形態は、画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを対象とし、このシステムは、本開示のソフトウェアエージェントと、ウィンドウを開かない悪意ないプロセスのホワイトリストとを備える。例示的な一実施形態では、システムは、ホワイトリストが動的リストであってよく、この動的リストが外部入力によって、又はシステム内で生成されたデータに従って更新されてよいように、動作する。

後続の記述ではマイクロソフトウィンドウズ（Microsoft Windows）（登録商標）に基づくシステムに言及するが、本開示の方法は、必要な変更を加えて他のオペレーティングシステムにも適用できることを、当業者なら理解するであろう。本開示によれば、画面キャプチャを実施できる唯二つのタイプのプロセスは、１）それ自体でウィンドウを開くプロセス、及び、２）後でさらに論じるようにホワイトリストに登録されたプロセスである。

画面キャプチャを実施することによって情報を盗むようにプログラムされた、大多数の悪意あるプロセスは、ユーザのシステム中でウィンドウを開かないことがわかっている。このような悪意あるエージェント（すなわちマルウェア）は、ユーザに気付かれることも、適切なソフトウェア保護が装備されていないシステムに気付かれることもなく、こっそりと動作する。

開いたウィンドウをプロセスが有すること、したがってそのプロセスが合法と見なされることを検出するのに使用できる、様々なソフトウェアユーティリティが存在する。マイクロソフトコーポレーションによって供給されるこのようなユーティリティの例は、スパイ＋＋（Spy++）である。これは、ビジュアルスタジオ（Visual Studio）（登録商標）の一部であり、システムのプロセス、スレッド、ウィンドウ、及びウィンドウメッセージのグラフィカルビューを提供するＷｉｎ３２ベースのユーティリティである。参照しやすいように、ウィンドウが開かれるのを識別する第三者ユーティリティが、周知のスパイ＋＋（Spy++）ユーティリティであるとする。しかし、本開示においては、第三者ユーティリティを使用することは必須ではなく、実施形態を実施して、検査対象のプロセスがウィンドウを開いているか否か判定できるエージェントを本開示により作成することができる。

例示的な一実施形態によるシステムは、プロセスを調べて、開いたウィンドウがあるかどうか判定するソフトウェアエージェントと、悪意ないプロセスのホワイトリストとを、少なくとも備えてよい。システムは、追加のコンポーネント、エージェント、及び要素を備えてもよいが、これらは本開示の一部ではなく、したがって、簡潔にするために本明細書では詳細に論じない。

一実施形態では、ウィンドウを開かないがなお安全で悪意のないプログラムの「ホワイトリスト」を提供し更新することによって、偽陽性を判定する危険を低減することができる。この実施形態によれば、プロセスが画面キャプチャを実施しようとしているときであって、開いたウィンドウをプロセスが有さないとソフトウェアエージェントが判定したとき、このプロセスがホワイトリスト中にない場合は画面キャプチャを阻止することができる。

ホワイトリストは、悪意ない追加のウィンドウが開かないプロセス（ウィンドウレスプロセス）として更新される動的リストとすることができる。例示的な一実施形態では、動的リストは、外部データ（例えば、ユーザのオペレーティングシステムを悪意ある攻撃から守るために利用されるシステム外リポジトリから受け取られた定期的な更新）で更新することができる。しかし、別の実施形態では、動的リストは、本開示のシステム自体によって生成されたデータを使用して更新することができる。例えば、一実施形態は、ウィンドウレスプロセスからのスクリーンシューティングの試みを検出すると、このプロセスがホワイトリストに登録されるべきか否かをユーザに尋ねる（consult）ことができる。本開示の別の実施形態によれば、エージェントは、（複数の）プロセスの状況を常に把握し、ウィンドウ使用についてそれらのプロセスを監視することができる。したがって、プロセスが現在はウィンドウを有さないが過去のある時点で可視ウィンドウを有した場合は、スクリーンシューティング保護のために、このプロセスはウィンドウレスプロセスと見なされないことになる。

図１は、画面キャプチャの使用を介したマルウェアによるデータ取得を防止する工程を示すフローチャートである。第１のステップ１０で、エージェントは、コンピュータを監視し、実行されている（複数の）プロセスを検出する。次のステップ１２で、エージェントは、検査対象のプロセスが識別（identify）されるか否かチェックする。検査対象のプロセスが識別される場合は、プロセスは画面キャプチャの実施を許可される。識別されない場合は、次のステップ１４で、エージェントは、検査対象のプロセスがウィンドウを開こうとしたかどうかチェックする。ウィンドウを開こうとしなかった場合は、次のステップ１６で、エージェントは、検査対象のプロセスが画面キャプチャを実施するのを阻止する。検査対象のプロセスがウィンドウを開いた場合は、次のステップ１８で、検査対象のプロセスは画面キャプチャの実施を許可される。

図２に、画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを示す。システム２０は、ウィンドウを開かない悪意ないプロセスのホワイトリストを収容するデータ記憶ユニット２６と、ソフトウェアエージェント２２とを備える。ソフトウェアエージェント２２は、コンピュータ上で実行されるプロセスを分析し、そのプロセスがウィンドウを開くかどうか判定し、プロセスがホワイトリスト上にリストされておらずウィンドウを開かない場合に、プロセスが画面キャプチャを実施するのを阻止するように構成される。

動的リストは、システム２０が接続され得るデータネットワーク２８（インターネットなど）を介して受け取られた外部入力によって、更新することができる。

［実施例］
悪意あるプロセスと悪意ないプロセスとの区別
悪意あるプロセスの例は、最近発見されたＦＡＫＥＭ ＲＡＴ（http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-fakem-rat.pdf）である。これは、それ自体のプロセスを使用し（「マルウェアは通常、名前tpframe.exeを使用して、％Ｓｙｓｔｅｍ％フォルダにそれ自体をコピーする」）、スクリーンショットをとることができる（「デスクトップのスナップショットをとる」）。

対照的に、様々なリモート管理ソフトウェア（例えばシマンテックのＰＣエニウェア（PC-Anywhere）（登録商標））は、ユーザのデスクトップのスクリーンショットをとる必要があるが、そのようなとき、（場合によっては）可視ウィンドウを有さない。

例示的な実施形態を使用することによって、悪意ない管理ソフトウェア（これは、そのウィンドウの少なくともいくつかが可視なので、且つ／又はホワイトリストに登録されているので、その挙動によって悪意がないと識別される）と、悪意あるプロセスとを区別することが可能である。例示的な実施形態は、上に論じたタイプの悪意ある攻撃と戦うための、単純でありながらも有効なツールを提供する。

上記の例及び説明は全て、例示のために提供したものであり、決して本開示を限定するものとはしない。例えば、異なるオペレーティングシステム又は異なるバージョンのオペレーティングシステムによって、プロセスがウィンドウを開くか否かを判定するための多くの異なる方法を考案することができ、これらは全て本開示の範囲を超えない。

２０ システム
２２ ソフトウェアエージェント
２４ ＯＳ
２６ データ記憶ユニット
２８ データネットワーク

Claims (5)

1. 画面キャプチャ手法の使用を介したマルウェアによるデータ取得を防止する方法であって、
   コンピュータ上でプロセスを分析するソフトウェアエージェントを動作させるステップと、
   ウィンドウを開かない悪意ないプロセスのホワイトリストを記憶するステップと、
   前記ソフトウェアエージェントが前記コンピュータ上で実行されるプロセスが前記ホワイトリスト上にリストされているかどうか判定するステップと、
   前記プロセスがホワイトリスト中にない場合、前記プロセスが未確認プロセスであると判定するステップと、
   前記未確認プロセスがウィンドウを開かない場合、前記未確認プロセスが画面キャプチャを実施するのを阻止するステップと
   を含む方法。
2. 前記ホワイトリストが外部入力もしくは前記コンピュータ内で生成されたデータに従って更新される、動的リストである、請求項１に記載の方法。
3. 請求項１〜２の何れか１項に記載の方法の各ステップのそれぞれをコンピュータに実行させるプログラムをコンピュータ可読媒体に記録した、コンピュータ可読記録媒体。
4. 画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのコンピュータシステムであって、
   ウィンドウを開かない悪意ないプロセスのホワイトリストを収容するデータ記憶ユニットと、
   コンピュータ上でプロセスを分析するソフトウェアエージェントを備え、
   前記ソフトウェアエージェントが、
   前記コンピュータ上で実行されるプロセスが前記ホワイトリスト上にリストされているかどうか判定する手段と、
   前記プロセスがホワイトリスト中にない場合、前記プロセスが未確認プロセスであると判定する手段と、
   前記未確認プロセスがウィンドウを開かない場合、前記未確認プロセスが画面キャプチャを実施するのを阻止する手段と
   を具備する、システム。
5. 前記ホワイトリストが外部入力もしくは前記コンピュータ内で生成されたデータに従って更新される、動的リストである、請求項４に記載のシステム。

Images