JP6624771B2 - クライアントベースローカルマルウェア検出方法 - Google Patents

Description

本発明は、インターネットセキュリティの分野に関する。具体的には、本発明はクライアントベースでユーザ端末デバイスにおけるマルウェアを検出する方法に関する。ユーザ端末デバイスとは、例えばユーザコンピュータであり、ユーザ端末デバイス上で実行されるブラウザを介してマルウェアに感染したものをいう。

より多くのユーザがインターネットに接続され、日常活動を電子的に実施するようになるのにともない、コンピュータユーザは地下経済のターゲットとなるようになっている。これらは主に経済的利益のため、マルウェアとしても知られる悪意あるソフトウェアでホストを感染させる。悪いことに、感染したｗｅｂサイトを一度訪れるのみであっても、アタッカはユーザブラウザの脆弱性を検出し、ユーザコンピュータにマルウェアを観戦させることができる。このマルウェアはしばしば、攻撃者が秘密データにアクセスできるようにし、あるいは欠陥がある端末デバイスのフルコントロールを得ることすらできる。これにより、機密情報の漏えいやホストの遠隔操作を可能にするユーティリティのインストールが発生し得る。

インターネットサービスは、ますます私たちの日々の生活の必須要素になりつつある。私たちはコミュニケーションのためインターネットに接続されたデバイスの便利さと柔軟性にますます依存するようになっており、一般に物理的存在を必要とするタスクをこれによって実施するようになっている。例えばバンキング作業がこれに当たる。非常に便利ではあるものの、インターネット取引は私たちの機密情報をさらしてしまう可能性がある。バンキング、医療記録、認証パスワード、個人通信記録は、接続されたいずれかのデバイスを脆弱化することに成功した攻撃者へ容易に知られてしまう可能性がある。

多くの場合、侵入が成功するとマルウェアに感染し、マルウェアは自身をユーザコンピュータ（またはインターネットなどのデータネットワークに接続しているユーザの他の端末デバイス）にインストールする。マルウェアを用いて、バンキングパスワードなどの機密情報を盗むことができる。特にユーザがブラウザを起動するときが顕著である。

上記課題を解決するため、有効なマルウェア検出ツールが望まれる。

ＵＳ２０１１／０２３９３００（本願出願人と同じ）は、コンピュータ内に存在するＨＴＭＬ改変マルウェアを検出する方法を開示している。ブラウザが受信したｗｅｂページ内に改変された文字列が存在するか否かを判定する。改変要素が見つかった場合、コンピュータ内にマルウェアが存在すると判定され、１以上の警告タスクまたは防御タスクが生成される。ＵＳ２０１１／０２３９３００の内容は参照によって本願に組み込まれる。同文献は、ユーザのブラウザがネットワークを介して表示するｗｅｂページをスキャンするマルウェアスキャンエンジンを備える遠隔サーバを提供する。マルウェアスキャンエンジンは、表示されたｗｅｂページの変化を検出するように構成されている。この変化は、ユーザ端末内に挿入されたマルウェアの存在を示唆している。しかし、ユーザがマルウェアによって「サポート」されていないブラウザ（すなわち、マルウェアが当該タイプのブラウザを攻撃するように作成されていない）でサーバにアクセスする場合、ユーザコンピュータがマルウェアに感染していることは検出されない。また、ＵＳ２０１１／０２３９３００が提案する方法は、ユーザがｗｅｂサイトに接続されたときのみマルウェアを検出することができる。

したがって本発明の目的は、クライアントサイドでマルウェアを検出する方法を提供することである。

本発明のその他の目的および利点は、以下の説明から明らかになるであろう。

本発明は、ユーザ端末デバイス上で動作するブラウザを介してマルウェアに感染した前記ユーザ端末デバイスにおけるマルウェアを検出する方法に関する。同方法は以下のステップを有する：
ａ）前記ユーザ端末上で所定のトリガイベントを検出したとき、前記端末上にインストールされたセキュリティアプリケーションによって透明ブラウザを自動的に起動して、１以上の所定Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）へナビゲートするステップ；
ｂ）前記透明ブラウザによってオープンされた直後に、受信した検査対象ｗｅｂページのコードを、前記セキュリティアプリケーションによってチェックするステップ；
ｃ）前記透明ブラウザによって少なくとも部分的に処理された後、前記セキュリティアプリケーションによって前記コードを再チェックするステップ；
ｄ）前記コードの変化を検出した場合、前記端末がマルウェアに感染した旨の警告を発するステップ。

前記所定のＵＲＬは、マルウェアによって攻撃されると予測されるｗｅｂサイトに対応するようにしてもよいし、ライブラリに格納してもよい。

前記セキュリティアプリケーションは、前記透明ブラウザによってオープンされる前に、受信したＨＴＭＬフォーマットの検査対象ｗｅｂページの前記コードを、チェックするように構成してもよい。

１実施形態において、前記コードを処理した後に再チェックするステップに代えて、前記セキュリティアプリケーションは、前記マルウェアのコード挿入のテンプレートを識別することにより、受信した検査対象ｗｅｂページの前記コードをチェックする。前記テンプレートは、前記透明ブラウザが受信した検査対象ｗｅｂページの前記コードから除外されたフィールドへ情報をタイプするように前記端末デバイスのユーザへ促すテキスト部分としてもよい。

１実施形態において、前記透明ブラウザに所定ＵＲＬへナビゲートさせることに代えて、前記セキュリティアプリケーションは、ローカルデータベースから選択したエミュレートされたｗｅｂページを内部的に戻すことにより、前記ＵＲＬへのナビゲートをエミュレートするように構成することもできる。

前記セキュリティアプリケーションは、前記ＵＲＬへのナビゲーションを以下のステップによってエミュレートすることもできる：
ａ）実行中かつネットワークインターフェースに到達するデータを生成する前に、前記透明ブラウザによって起動された呼び出し機能を捕捉するステップ；
ｂ）エミュレートされたｗｅｂページを前記透明ブラウザに対して内部的に戻すステップ。

プラグインとブラウザ拡張は前記透明ブラウザから実行不能にしてもよい。

本発明はまた、ユーザ端末デバイス上で動作するブラウザを介してマルウェアに感染した前記ユーザ端末デバイスにおけるマルウェアを検出する方法に関する。同方法は以下のステップを有する：
ａ）前記ユーザ端末上で所定のトリガイベントを検出したとき、前記端末上にインストールされたセキュリティアプリケーションによって透明ブラウザを自動的に起動して、１以上の所定ＵＲＬへナビゲートするステップ；
ｂ）前記セキュリティアプリケーションが前記透明ブラウザに対して、専用プラグインによってインターフェースブラウザから収集されたｗｅｂページを戻すことを許可するステップであって、前記プラグインは前記インターフェースブラウザにあらかじめインストールされておりかつ関心ｗｅｂページを記録するように構成されている、ステップ；
ｃ）前記収集されたページにおいて１以上の変化を検出した場合、前記端末がマルウェアに感染した旨の警告を発するステップ。

１実施形態において、透明ブラウザを起動するステップおよび処理後に前記コードを再チェックするステップに代えて、前記セキュリティアプリケーションは各ｗｅｂページの前記コードにおける変化を以下のステップによって検出することもできる：
ａ）前記ユーザインターフェースブラウザを介してブラウズ中にｗｅｂページにアクセスするステップ；
ｂ）ヒューリスティックプロセスを用いて、前記マルウェアが挿入したコードの既知のテキスト部分および前記マルウェアが使用する隠しフレームを検出することにより、前記ｗｅｂページを検査するステップ。

前記トリガイベントは、前記ユーザが前記インターフェースブラウザを起動したことを検出することであってもよいし、タイムベーストリガであってもよいし、前記ユーザ端末デバイスを再起動することであってもよい。

本発明の１実施形態に基づくマルウェア検出システムおよび方法の概略図である。 本発明が提案する方法の実施形態のフローチャートである。

ユーザは日々の生活において、例えばｗｅｂサイトのハイパーリンク（ＵＲＬ）をクリックすることにより、ｗｅｂサイトにアクセスする。ユーザは次にｗｅｂサイトを介してナビゲートし、関心のあるｗｅｂページを見つける。通常、ハイパーテキストマックアップ言語（ＨＴＭＬ）形式の所望ｗｅｂページが、ユーザ端末のブラウザウインドウを介して、または当該分野における既知のコンピュータ手段によって、提示または表示される。

本発明は、コンピュータ（またはインターネットのようなデータネットワークに接続したユーザの任意の端末デバイス）にマルウェアが存在している状態でブラウジングしている間にユーザコンピュータ動作に応じてリアルタイム検出することにより、ブラウザを実行することを介して感染したコンピュータにおけるマルウェアを検出し、オンライン機密情報を不正捕捉することを防ぐ方法に関する。これは全体としては、ユーザのコンピュータにインストールされたセキュリティアプリケーションによってなされる。セキュリティアプリケーションは、特定ｗｅｂサイトを訪問している間にユーザインターフェース（実際の）ブラウザが受信したＨＴＭＬを検査し、そのＨＴＭＬページのコンテンツまたはコードのマルウェアによって生じた可能性のある変化を検出する。

図１は、本発明の１実施形態に基づくシステム（符号１０を付している）を概略的に示す。本システムは、ユーザコンピュータ動作の結果としてブラウザに挿入されたマルウェアを検出するためのものである。システム１０は、インターネット１２またはデータネットワークに適したその他の接続を介してｗｅｂサイトサーバ２４と接続することができるユーザ端末３を備える。ユーザ端末３は、インターフェース（実）ブラウザ７を有する。インターフェースブラウザ７が実行されると、ユーザが入力デバイス６によって従来通り選択したｗｅｂページ９をサーバ２４からダウンロードする。これは通常はハイパーリンク（ＵＲＬ）にアクセスした後である。ユーザ端末３はまた、透明（不可視）ブラウザ１４を有する。透明ブラウザ１４は以下に説明するように、マルウェアを検出するため、ユーザに見えないようになっている（ただし端末デバイス上では実行される）。クライアントサイドセキュリティアプリケーション５は、ユーザ端末３上にインストールされており、格納されている所定命令にしたがって透明ブラウザ１４を起動する。

セキュリティアプリケーション５は透明ブラウザ１４に、マルウェアが攻撃するであろうと予測されるｗｅｂサイト（例えば銀行ｗｅｂサイト）のＵＲＬをいくつかナビゲートさせ、ｗｅｂページ９（またはサーバリソースのコピー）マルウェアによって改変されていないかチェックする。よってＵＳ２０１１／０２３９３００が提案する方法と異なり、本発明においてセキュリティアプリケーション５は、透明ブラウザ１４をマルウェアによって攻撃されるであろう多くのｗｅｂサイトへナビゲートすることができる。セキュリティアプリケーション５はまた、透明ブラウザ１４が解釈した直後に、受信した検査対象ｗｅｂページ９のコードをチェックするように構成されている。このチェックは、基準（ベースライン）として用いられる。セキュリティアプリケーション５は次に、透明ブラウザ１４がレンダリングの準備をする間に、いくつかの処理ステップを通過した後（すなわち部分的に処理した後）で再チェックする。これにより、検査対象ｗｅｂページ９のコードが改変されているか否かを検出する。これは、透明ブラウザ１４に対して専用フック（プログラマがカスタマイズしたプログラムを挿入できるようにする、パッケージコードによって提供されるインターフェース）を用いることにより実施することができる。この専用フックは、透明ブラウザ１４が解釈するとき（第１フックを用いて）、および処理された直後（第２フックを用いて）において、ｗｅｂページ９を見ることができる。セキュリティアプリケーション５は、いくつかの同一の処理ステップを並列実行するように構成されている。これにより、同一の処理ステップを通過したコード同士を比較する。本実施形態によれば、セキュリティアプリケーション５は、検査対象ｗｅｂページ９の期待されるコードと、マルウェア動作によって透明ブラウザ１４へ提示された実際のコードとを比較するのに適した任意の機能を実装するように構成することができる。実質的なコード改変が検出された場合、それはユーザ端末３に感染したマルウェアによってなされた可能性があるといえる。

他実施形態において、セキュリティアプリケーション５は、マルウェアのコード挿入のテンプレートとして可能性があるものを識別するために、検査対象ｗｅｂページ９のコードをチェックするように構成することができる。このテンプレートは例えば、検査対象ｗｅｂページ９において通常は現れるべきではない、ユーザ名とパスワードをタイプするようユーザに促すテキスト部分である。このテンプレートは、透明ブラウザによって受信した検査対象ｗｅｂページのコードから除外されたフィールドへ情報をタイプするよう端末デバイスのユーザに促すテキスト部分であってもよい。このようなテンプレートが検出された場合、それはユーザ端末３に感染したマルウェアによってなされた可能性があるといえる。

他実施形態において、セキュリティアプリケーション５は、透明ブラウザ１４に実際にマルウェアが攻撃するであろうｗｅｂサイトのＵＲＬへナビゲートさせるのではなく、ＵＲＬに対するナビゲーションをエミュレートするように構成することができる。エミュレーションは、帯域幅を節約し、閲覧するページの適正な変化をマルウェアとして認識しないようにするために用いられる。この場合セキュリティアプリケーション５は、エミュレートしたｗｅｂページを、実際に特定のＵＲＬ（例えば銀行のＵＲＬ）を訪問することにより得られたものであるかのようにして、透明ブラウザ１４へ戻すように構成される。これは、ローカルデータベースから選択されたエミュレートｗｅｂページを内部的に戻すことにより実施される。このとき、ネットワークインターフェース（カード）に接続する必要はなく、インターフェース（実）ブラウザ７を介したユーザナビゲーションとは関係しない。また、透明ブラウザ１４は通常、閲覧前に何らかの機能を（特定のライブラリから）呼び出すので、実行中かつネットワークインターフェースに到達するデータパケットを生成する前にセキュリティアプリケーション５を用いてそのような呼び出しを捕捉し、透明ブラウザ１４に対して即座にエミュレートされたｗｅｂページを引き渡すことができる。このように、検査プロセスは高速でありノイズがない。また、セキュリティアプリケーション５が実施するローカル検査により、ユーザ端末３上で用いられる複数の異なるブラウザが閲覧するｗｅｂページ９を攻撃するマルウェアを検出することができる。

本発明が提案する透明ブラウザ１４を用いることにより、ノイズを削減することができる。セキュリティアプリケーション５によって完全にコントロールされているからである。したがって、ｗｅｂページ９を適正に変更するが場合によってはマルウェアとみなされる可能性のある全てのプラグインおよびブラウザ拡張を、使用不可にすることができる。

上述のように、ユーザインターフェース（実）ブラウザ７を介してアクセスするｗｅｂページ９を取得し、各ｗｅｂページのコード変化を検出することにより、セキュリティアプリケーション５によって検査することができる。この場合、インターフェース（実）ブラウザ７に、関心のあるｗｅｂページ（例えば銀行ｗｅｂサイトに属するｗｅｂページ）を記録するように構成された専用プラグインをインストールすることができる。記録されたｗｅｂページは、セキュリティアプリケーション５によって検査される。ヒューリスティックプロセスを用いて、マルウェアが挿入するコードの既知のテキスト部分とともに、マルウェアが用いる隠しフレームを検出することができる。他実施形態において、セキュリティアプリケーション５は、ＨＴＭＬパースレイヤに引き渡されるとき、検査対象ｗｅｂページ９のコードをチェックするように構成することができる。

ユーザインターフェースブラウザ７は、透明ブラウザ１４が同時に動作しつつもブラウジングのため充分大きいデータレートで動作する、マルウェアに対して脆弱である可能性があるネットワークブラウジング機能を提供するのに適した任意のアプリケーションであってもよい。ユーザ端末３は、ユーザインターフェースブラウザ７を動作させる任意のデバイスであってもよい。端末３は例えば、携帯端末（ＰＤＡ）、ラップトップなどのコンピュータ、携帯電話、モバイルハンドセット、タブレットコンピュータ、その他インターネットを閲覧する任意デバイスを含む。端末３は、任意のオペレーティングシステムを備えることができる。例えばＭＡＣ・ＯＳ、ＷＩＮＤＯＷＳ(登録商標)、ＵＮＩＸ(登録商標)、ＬＩＮＵＸ(登録商標)、その他適当なオペレーティングシステムである。例えば、Ｓｙｍｂｉａｎ（Ｓｙｍｂｉａｎ社）、ｉＯＳ（Ａｐｐｌｅ）、Ｗｉｎｄｏｗｓ(登録商標)Ｐｈｏｎｅ（Ｍｉｃｒｏｓｏｆｔ）、Ａｎｄｒｏｉｄ（Ｇｏｏｇｌｅ）などのモバイルデバイスオペレーテイングシステム（特にスマートフォン）も含む。

図２は、ｗｅｂページがマルウェアによって攻撃されたか否かを検出するシステム１０と連携して動作する方法の実施形態のフローチャートである。第１ステップ３１において、セキュリティアプリケーション５は端末デバイス３上（クライアントサイド）にインストールされる。ステップ３３において、バックグラウンドで常時実行されるプロセス（例えば、所望ＵＲＬからｗｅｂページを受信するためユーザ端末上にインストールされたユーザインターフェース（実）ブラウザをユーザが起動したとき、透明ブラウザ１４を周期的に開始するとき、セキュリティアプリケーション５をインストールするとき、コンピュータを再起動するとき、または未知のソフトウェアを実行するとき）などのような所定トリガイベントを検出すると、セキュリティアプリケーション５は自動的に、透明ブラウザ１４にいくつかのマルウェアが攻撃しそうなｗｅｂサイトのＵＲＬへナビゲートさせる。次のステップ３５において、セキュリティアプリケーション５は、透明ブラウザ１４によってオープンされた直後に、受信した検査対象ｗｅｂページ９のコードをチェックする。セキュリティアプリケーションはまた、ＨＴＭＬフォーマットで透明ブラウザによってオープンされる前に、受信した検査対象ｗｅｂページのコードをチェックするように構成することもできる。次のステップ３７において、セキュリティアプリケーション５は、透明ブラウザによるいくつかの処理ステップを通過した後にコードを再チェックし、ｗｅｂページの改変を検出する。次のステップ３９において、改変が検出された場合、ユーザ端末がマルウェアに感染した旨の警告を発する。

他実施形態において、セキュリティアプリケーション５は、マルウェアのコード挿入のテンプレートとして可能性があるものを識別するため、検査対象ｗｅｂページ９のコードをチェックするように構成することができる。例えば、検査対象ｗｅｂページ９において現れるべきではない、ユーザ名とパスワードをタイプするようユーザに促すテキスト部分である。このようなテンプレートが検出された場合、それはユーザ端末３に感染したマルウェアによってなされた可能性がある。

他実施形態において、セキュリティアプリケーション５は、実際にナビゲーションを実施して帯域幅とネットワークリソースを消費するのではなく、マルウェアが攻撃すると予測されるＵＲＬに対するナビゲーションをエミュレートするように構成することができる。エミュレートしたナビゲーションは、複数ｗｅｂページを実際に閲覧することによる適正な変化をマルウェアとみなしてしまうような「ノイズ」をなくすことができる。この場合セキュリティアプリケーション５は、透明ブラウザ１４に対して、特定ＵＲＬ（例えば銀行のＵＲＬ）を実際に訪問して得られたものであるかのようにして、エミュレートされたｗｅｂページを戻すように構成される。これは、ローカルデータベースから選択したエミュレートされたｗｅｂページを内部的に引き渡すことにより、実施することができる。この場合、ネットワークインターフェース（カード）に接続する必要はなく、インターフェース（実）ブラウザ７を介してユーザナビゲーションは関係ない。また、透明ブラウザ１４は通常、閲覧前に何らかの機能を（特定のライブラリから）呼び出すので、実行中かつネットワークインターフェースに到達するデータパケットを生成する前にセキュリティアプリケーション５を用いてそのような呼び出しを捕捉し、透明ブラウザ１４に対して即座にエミュレートされたｗｅｂページを引き渡すことができる。このように、検査プロセスは高速でありノイズがない。また、セキュリティアプリケーション５が実施するローカル検査により、ユーザ端末３上で用いられる複数の異なるブラウザが閲覧するｗｅｂページ９を攻撃するマルウェアを検出することができる。

本発明が提案する透明ブラウザ１４を用いることにより、ノイズを削減することができる。セキュリティアプリケーション５によって完全にコントロールされているからである。したがって、ｗｅｂページ９を適正に変更するが場合によってはマルウェアとみなされる可能性のある全てのプラグインおよびブラウザ拡張を、使用不可にすることができる。

上述のように、ユーザインターフェース（実）ブラウザ７を介してアクセスするｗｅｂページ９を取得し、これを透明ブラウザ１４に提示し、各ｗｅｂページのコード変化を検出することによりセキュリティアプリケーション５によって検査することができる。この場合、インターフェース（実）ブラウザ７に、関心のあるｗｅｂページ（例えば銀行ｗｅｂサイトに属するｗｅｂページ）を記録するように構成された専用プラグインをインストールすることができる。記録されたｗｅｂページは、透明ブラウザ１４に提供され、セキュリティアプリケーション５によって検査される。

上述のように、ブラウジングしている間に、ユーザインターフェース（実）ブラウザ７を介してアクセスするｗｅｂページ９をパッシブ分析し、これを透明ブラウザ１４に提示し、各ｗｅｂページのコード変化を検出することによりセキュリティアプリケーション５によって検査することができる。この場合、ヒューリスティックプロセスを用いて、マルウェアが挿入するコードの既知のテキスト部分とともに、マルウェアが用いる隠しフレームを検出することができる。

例示によって本発明の実施形態を説明したが、本発明は特許請求範囲を逸脱することなく、多くの変更、変形、適用とともに実施し、当業者の範囲に属する様々な等価物または代替物とともに用いて実施することができることは明らかである。

Claims (9)

1. ユーザ端末デバイス上で動作するブラウザを介してマルウェアに感染した前記ユーザ端末デバイスにおけるマルウェアを検出する方法であって、
   ａ）前記ユーザ端末上で所定のトリガイベントを検出したとき、前記端末上にインストールされたセキュリティアプリケーションによって前記ユーザ端末デバイス上では実行されるがユーザに見えない透明ブラウザを自動的に起動して、前記セキュリティアプリケーションが前記マルウェアによって攻撃されると予測される１以上の所定ＵＲＬへ前記透明ブラウザをナビゲートするステップ；
   ｂ）前記セキュリティアプリケーションにより、前記透明ブラウザによる前記所定URLから受信したｗｅｂページの処理中の2つの異なる時点でｗｅｂページのコードをチェックするステップであって、前記2つの異なる時点のうちの最初の時点は、前記透明ブラウザによって前記ｗｅｂページが開かれた直後の時点であり、前記２つの異なる時点のうちの第２の時点は、前記開かれたｗｅｂページが前記透明ブラウザによって少なくとも部分的に処理された後、前記透明ブラウザによって前記コードをレンダリングする準備中にある時点である、ステップ；
   ｃ）前記2つの異なる時点の間のコードの改変を検出するステップ；
   ｄ）前記2つの異なる時点でコードの改変が検出された場合、前記ユーザ端末がマルウェアに感染した旨の警告を発するステップ；
   を有することを特徴とする方法。
2. 前記トリガイベントは、ユーザがブラウザを起動したことを検出すること、タイムベーストリガ、および前記ユーザ端末デバイスを再起動することから選択されていることを特徴とする請求項１記載の方法。
3. 前記所定ＵＲＬはライブラリに格納されていることを特徴とする請求項１記載の方法。
4. 前記受信した検査対象ｗｅｂページがＨＴＭＬフォーマットである請求項１記載の方法。
5. 前記ｗｅｂページのコードをチェックするステップに代えて、前記セキュリティアプリケーションは、前記マルウェアによって挿入されたテンプレートを識別することにより、受信した検査対象ｗｅｂページの前記コードをチェックすることを特徴とする請求項１記載の方法。
6. 前記テンプレートは、前記透明ブラウザが受信した検査対象ｗｅｂページの前記コードから除外されたフィールドへ情報をタイプするように前記端末デバイスのユーザへ促すテキスト部分であることを特徴とする請求項５記載の方法。
7. 前記透明ブラウザに所定ＵＲＬへナビゲートさせることに代えて、前記セキュリティアプリケーションは、前記透明ブラウザにローカルデータベースの前記検査対象ｗｅｂページのコピーをオープンさせるように構成されていることを特徴とする請求項１記載の方法。
8. プラグインとブラウザ拡張は前記透明ブラウザから実行不能にされていることを特徴とする請求項１記載の方法。
9. ユーザ端末デバイス上で動作するブラウザを介してマルウェアに感染した前記ユーザ端末デバイスにおけるマルウェアを検出する方法であって、
   ａ）前記ユーザ端末上で所定のトリガイベントを検出したとき、前記端末上にインストールされたセキュリティアプリケーションによって前記ユーザ端末デバイス上では実行されるがユーザに見えない透明ブラウザを自動的に起動して、前記セキュリティアプリケーションが前記マルウェアによって攻撃されると予測される１以上の所定ＵＲＬへ前記透明ブラウザをナビゲートするステップ；
   ｂ）前記セキュリティアプリケーションが前記透明ブラウザに対して、専用プラグインによってインターフェースブラウザから収集されたｗｅｂページをオープンするステップであって、前記プラグインはユーザのインターフェースブラウザにあらかじめインストールされておりかつ関心ｗｅｂページを記録するように構成されている、ステップ；
   ｃ）前記収集されたページにおいて、ヒューリスティックプロセスを用いて、前記マルウェアが挿入したコードの既知のテキスト部分および前記マルウェアが使用する隠しフレームを検出することにより、前記ｗｅｂページを検査するステップ；
   ｄ）前記テキスト部分もしくは前記フレームが検出された場合、前記端末がマルウェアに感染した旨の警告を発するステップ；
   を有することを特徴とする方法。

Images