JPWO2005103895A1 - コンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラム - Google Patents

Abstract

コンピュータウィルス固有情報の抽出を迅速に行うことを可能とする。 サーバ１００は、コンピュータウィルスであると特定された実行ファイルにおいて、固有であるとみなし得る情報の格納領域であると予め決められた特定領域であるヘッダ項目の「Ｉｍｐｏｒｔ Ｔａｂｌｅ」等をシグネチャ項目の領域として特定し、その「Ｉｍｐｏｒｔ Ｔａｂｌｅ」等の内容を読み出してシグネチャとして抽出する。更に、サーバ１００は、シグネチャを複数組み合わせて、新たなシグネチャとして抽出する。

Description

本発明は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法、及び、コンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出プログラムに関する。

近年のインターネットをはじめとするネットワークの急速な発展に伴い、コンピュータウィルスによる被害は年々深刻なものとなってきている。このコンピュータウィルスによる被害は、時間経過に伴い不特定多数に対し加速度的に被害を与える点や、本来は被害者であるユーザが気づかないうちに加害者となる点などで、深刻の度合いが大きい。

コンピュータウィルスは、経済産業省の定義によれば、第三者のプログラムやデータベースに対して意図的に何らかの被害を及ぼすように作られたプログラムであって、自己伝染機能、潜伏機能及び発病機能の少なくとも１つの機能を有するものであるとされている。従来、このようなコンピュータウィルスを検出する様々なシステムが提案されている（例えば、特許文献１参照）。

前述したような従来のコンピュータウィルス検出システムは、一般に、シグネチャと称されるコンピュータウィルス固有情報を用いて、検査対象の実行ファイルとのパターンマッチングを行い、実行ファイル内にシグネチャと同一の情報が含まれる場合には、その実行ファイルがコンピュータウィルスであると判断する。
特開２００４−３８２７３号公報

しかしながら、従来のコンピュータウィルス検出システムでは、シグネチャの抽出において、専門知識を有する者がコンピュータウィルスを解析し、そのコンピュータウィルスの固有情報を探し出す必要があり、時間がかかる。このようにシグネチャの抽出に時間がかかることは、近年の電子メールを媒介として拡散するコンピュータウィルスのように拡散速度が速いコンピュータウィルスの検出には十分ではなく、被害の広がりを防止することができない恐れがある。

本発明は従来の問題を解決するためになされたもので、コンピュータウィルス自体の情報ではなく実行ファイルのヘッダ領域等の情報からコンピュータウィルス固有情報の抽出を迅速に行うことが可能なコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムを提供することにある。

本発明のコンピュータウィルス固有情報抽出装置は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するものであって、コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有する構成となる。

この構成により、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出されるため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記特定領域が、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域である構成となる。

この構成により、コンピュータウィルス固有情報をコンピュータウィルスの検出に用いた場合における誤検出を抑制することができる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段において、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。

この構成により、実行ファイルにおける特定領域の位置が可変である場合においても、その特定領域を確実に特定することが可能となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記特定領域が、前記実行ファイルにおけるヘッダ領域の一部である構成となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記取得手段が、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出手段は、前記取得手段により取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。

この構成により、実行ファイルが電子メールでエンコードされて送られてくるような場合においても、そのエンコードされた実行ファイルに応じたコンピュータウィルス固有情報の抽出が可能となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記取得手段及び前記抽出手段が、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。

電子メールに添付されて送られてくる実行ファイルは一般にｂａｓｅ６４形式のエンコード処理がなされているため、この構成により、電子メールに添付されて送られてくる実行ファイルに応じたコンピュータウィルス固有情報の抽出が可能となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段が、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記抽出手段が、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。

この構成により、コンピュータウィルス固有情報抽出装置で抽出されたコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることで、コンピュータウィルス固有情報が異なる実行ファイル間で一致することを極力避け、シグネチャを用いたコンピュータウィルス検出における誤検出を極力抑制することができる。

また、本発明のコンピュータウィルス固有情報抽出装置は、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出装置は、前記実行ファイルが、マイクロソフトのＷｉｎｄｏｗｓ（登録商標）向けとして一般的な実行ファイル形式であるＰＥ（Ｐｏｒｔａｂｌｅ Ｅｘｅｃｕｔａｂｌｅ）形式である構成となる。

実行ファイル形式がＰＥ形式である場合の所定の圧縮形式で圧縮された実行ファイル、すなわち、所定の実行可能圧縮形式で圧縮された実行ファイルにおいて、固有であるとみなし得る情報の格納領域であると予め決められた特定領域が存在する場合には、この構成により、その特定領域に含まれる情報が、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出されるため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。なお、実行ファイル形式はＰＥ形式に限定されるものではない。

また、本発明のコンピュータウィルス固有情報抽出方法は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置におけるものであって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有する構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記特定領域が、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域である構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップにおいて、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記特定領域が、前記実行ファイルにおけるヘッダ領域の一部である構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記取得ステップが、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記取得ステップ及び前記抽出ステップが、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップが、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記抽出ステップが、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法は、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出方法は、前記実行ファイルが、ＰＥ形式である構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置において実行されるものであって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有する構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記特定領域が、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域である構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップにおいて、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定する構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記特定領域が、前記実行ファイルにおけるヘッダ領域の一部である構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記取得ステップが、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出する構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記取得ステップ及び前記抽出ステップが、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱う構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップが、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出する構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記抽出ステップが、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とする構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記実行ファイルが、所定の実行可能圧縮形式で圧縮された実行ファイルである構成となる。また、本発明のコンピュータウィルス固有情報抽出プログラムは、前記実行ファイルが、ＰＥ形式である構成となる。

本発明は、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出するため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。

コンピュータシステムの構成例を示す図である。 実行ファイルのヘッダ構成を示す図である。 ヘッダ項目の一致率を示す図である。 サーバによるシグネチャ抽出時の動作のフローチャートである。 シグネチャ項目とシグネチャとの対応関係を示す図である。 コンピュータウィルスの検出実験の結果を示す図である。 実行可能圧縮が施されたコンピュータウィルスの検出実験の結果を示す図である。

符号の説明

１００ サーバ
２００ シグネチャＤＢ
２４０ 危険実行ファイルＤＢ
２８０ ウィルス培養装置
３００−１〜３００−ｋ、３１０−１〜３１０−ｊ パソコン
４００ 構内ネットワーク
５００ インターネット

コンピュータウィルス固有情報抽出装置は、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として自動抽出することにより、迅速なコンピュータウィルス固有情報の抽出を実現した。

以下、本発明を実施するための最良の形態について、図面に基づいて説明する、

本発明の実施の形態におけるコンピュータシステムの構成例を図１に示す。図１に示すコンピュータシステムは、ゲートウェイやメールサーバ等として機能するものであり、構内ネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）４００とインターネット５００との間の通信を中継するサーバ１００と、コンピュータウィルスの固有情報であるシグネチャを記憶するシグネチャデータベース（ＤＢ）２００と、ウィルスに感染する可能性のある危険な実行ファイルを蓄えておく危険実行ファイルデータベース２４０と、電子メールの添付ファイルからウィルスを高速で培養するウィルス培養装置２８０と、構内ネットワーク４００に接続されるパーソナルコンピュータ（パソコン）３００−１乃至３００−ｋ（以下、これらパソコン３００−１乃至３００−ｋをまとめて「パソコン３００」と称する）と、インターネット５００に接続されるパソコン３１０−１乃至３１０−ｊ（以下、これらパソコン３１０−１乃至３１０−ｊをまとめて「パソコン３１０」と称する）とにより構成される。このコンピュータシステムは、オペレーティングシステムとしてマイクロソフトのＷｉｎｄｏｗｓ（登録商標）を実装して動作する。

本発明は、コンピュータウィルスであると特定された実行ファイルを取得した後の処理に関するものであるが、参考として取得例を以下に示す。

実行ファイルがコンピュータウィルスであるか否かの判定は、例えば、以下のような手順で行われる。すなわち、サーバ１００は、インターネット５００からの電子メールに添付されたファイルを受信すると、このファイルの拡張子を特定する。Ｗｉｎｄｏｗｓ（登録商標）において、コンピュータウィルスの可能性のある実行ファイルの拡張子は、「ｅｘｅ」、「ｃｏｍ」、「ｂａｔ」、「ｓｃｒ」、「ｌｎｋ」、「ｐｉｆ」のいずれかである。このため、サーバ１００は、特定した拡張子がこれら「ｅｘｅ」、「ｃｏｍ」、「ｂａｔ」、「ｓｃｒ」、「ｌｎｋ」、「ｐｉｆ」のいずれかである場合、その拡張子を有する実行ファイルに対して識別情報であるＩＤを付加し、危険な実行ファイルとしてその実行ファイルを複製してウィルス培養装置２８０に実行ファイルを渡す。次に、サーバ１００は、ＩＤと共に元の実行ファイルを危険な実行ファイルとして、危険実行ファイルＤＢ２４０に蓄積する。更に、サーバ１００は、監視機能により、ウィルス培養装置２８０を監視状態に置く。

ウィルス培養装置２８０は、ｂａｓｅ６４形式の実行ファイルをバイナリ形式の実行ファイルに変換して実行する。そして、ウィルス培養装置２８０には、Ｗｉｎｄｏｗｓ（登録商標）環境においてシステムのレジストリやファイルを改竄しないか、ウィルスメールを発行しないか等を監視する機能が装備されており、その実行の結果と実行ファイルに付加されたＩＤがサーバ１００に戻される。

サーバ１００は、この実行結果を解析して、ウィルス培養装置２８０によって実行された実行ファイルがコンピュータウィルスであるか否かを判定する。

前述ではサーバ１００が、インターネット５００から受信した電子メールを処理する場合を想定したが、ＬＡＮ４００から受信した電子を処理する場合にも、本発明は適用可能である。また、上記のサーバ１００は、ウィルス培養装置２８０によって実行された実行ファイルがコンピュータウィルスであるか否かを見極めた後に、受信した電子メールを処理していた。この場合には、ウィルス培養装置２８０の判定に時間が掛かり、電子メールの処理性能に影響を及ぼす可能性もある。この対策としてサーバ１００は、ウィルス培養装置２８０の判定が出る前に、受信した電子メールを宛先のパソコンに転送することも可能である。サーバ１００は、後に実行ファイルがコンピュータウィルスであると判明した時点で、シグネチャを抽出する。以上がコンピュータウィルスであると特定された実行ファイルを取得する処理例である。

次にサーバ１００は、コンピュータウィルスであると特定された実行ファイルのヘッダにおける特定領域の情報に基づいてシグネチャを自動抽出する。

実行ファイルのヘッダ構成を図２に示す。Ｗｉｎｄｏｗｓ（登録商標）における実行ファイルは、ＰＥ（Ｐｏｒｔａｂｌｅ Ｅｘｅｃｕｔａｂｌｅ）形式のフォーマットにより構成され、そのヘッダは、図２に示すように、「ＭＳ−ＤＯＳ（登録商標）Ｃｏｍｐａｔｉｂｌｅ Ｈｅａｄｅｒ」（ＭＳ−ＤＯＳ（登録商標）互換ヘッダ）、「ＭＳ−ＤＯＳ（登録商標）Ｓｔｕｂ」（ＭＳ−ＤＯＳ（登録商標）スタブ）、「ＣＯＦＦ（Ｃｏｍｍｏｎ Ｏｂｊｅｃｔ Ｆｉｌｅ Ｆｏｒｍａｔ）Ｈｅａｄｅｒ」（ＣＯＦＦヘッダ）及び「Ｏｐｔｉｏｎａｌ Ｈｅａｄｅｒ」（オプションヘッダ）の各ヘッダ領域により構成される。

これらのヘッダ領域のうち、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブは、下位互換のためのものであり、実行ファイルによっては存在しない場合がある。従って、オフセット領域としてのＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブ内のヘッダ項目の情報はシグネチャの抽出には適さない。なお、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在する場合、これらＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブの領域の大きさは可変であり、その大きさ（バイト数）の合計はＭＳ−ＤＯＳ（登録商標）互換ヘッダの最後の「Ｏｆｆｓｅｔ ｍａｉｎ ｐａｒｔ」に設定される。

一方、ＣＯＦＦヘッダ及びオプションヘッダは、全てのＷｉｎｄｏｗｓ（登録商標）における実行ファイルに存在する。このため、本実施形態では、サーバ１００は、ＣＯＦＦヘッダ及びオプションヘッダに含まれるヘッダ項目の情報をシグネチャの抽出に用いる。

本発明者は、互いに異なるＷｉｎｄｏｗｓ（登録商標）における実行ファイルを１０００個用意し、これらの実行ファイルの中から任意の２個を抽出した場合に、ＣＯＦＦヘッダ及びオプションヘッダ内の各ヘッダ項目が一致する確率を調査した。

この調査によるヘッダ項目の一致率を図３に示す。図３では、ヘッダ項目と、そのヘッダ項目が属するヘッダ領域と、そのヘッダ項目についての実行ファイル間での一致率が示されている。また、図３では、一致率の低い、換言すれば、実行ファイル間で異なる確率の高い上位１０個のヘッダ項目が示されている。

シグネチャを用いたコンピュータウィルスの検出において誤検出を抑制するためには、サーバ１００は、シグネチャの抽出において、実行ファイル間で一致率が所定値（例えば、０．５％）以下であるヘッダ項目を用いることが望ましい。図３では、一致率の最も低いヘッダ項目は「Ｉｍｐｏｒｔ Ｔａｂｌｅ」である。従って、サーバ１００は、この「Ｉｍｐｏｒｔ Ｔａｂｌｅ」をシグネチャの抽出に用いることが最も望ましい。「Ｉｍｐｏｒｔ Ｔａｂｌｅ」は、大きさが８バイトであり、ＣＯＦＦヘッダの先頭から１２９バイト目の位置が先頭位置である。従って、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」は、実行ファイルの先頭から１２９バイト目の位置が先頭位置である。一方、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ ｍａｉｎ ｐａｒｔ」において示されたαバイトである場合、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」は、実行ファイルの先頭から１２９＋αバイト目の位置が先頭位置である。

以下、サーバ１００によるシグネチャ抽出時の動作を説明する。

サーバ１００によるシグネチャ抽出時の動作のフローチャートを図４に示す。なお、以下においては、電子メールに添付される実行ファイルがコンピュータウィルスである場合に、そのコンピュータウィルスを検出するためのシグネチャが自動抽出される場合について説明する。

サーバ１００は、コンピュータウィルスであると特定された実行ファイルを取得する（Ｓ１０１）。この取得される実行ファイルは、ｂａｓｅ６４形式でエンコードされた情報である。具体的には、サーバ１００は、実行ファイルをコンピュータウィルスであると判断した場合、そのＩＤに対応した実行ファイルを危険実行ファイルＤＢ２４０から読み出す。また、実行ファイルをコンピュータウィルスではないと判断した場合、そのＩＤに対応した実行ファイルを危険実行ファイルＤＢ２４０から読み出して、パソコン３００における宛先のパソコンに転送する。

サーバ１００は、コンピュータウィルスであると特定されたｂａｓｅ６４形式の実行ファイルを取得すると、次に、シグネチャの抽出に適したヘッダ項目（シグネチャ項目）の領域を特定する（Ｓ１０２）。

サーバ１００は、ｂａｓｅ６４形式の実行ファイル内のヘッダ項目（シグネチャ項目）に対応する領域の内容を読み出してシグネチャとして抽出する（Ｓ１０３）。

サーバ１００は、シグネチャを複数組み合わせて、新たなシグネチャとするために、追加すべきシグネチャが存在するか判断する（Ｓ１０４）。追加すべきシグネチャが存在する場合には、Ｓ１０２以降の動作が繰り返される。

一方、追加すべきシグネチャが存在しない場合には、Ｓ１０５に制御が移り、サーバ１００は、抽出した全てのシグネチャを組み合わせて、新たなシグネチャとし、シグネチャＤＢ２００に記憶する（Ｓ１０５）。

ここでＳ１０２の具体的な特定方法を概説する。例えば、バイナリ形式の実行ファイルで「Ｉｍｐｏｒｔ Ｔａｂｌｅ」がシグネチャ項目となる場合、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合には、実行ファイルの先頭から１２９バイト目から１３６バイト目までの８バイトの領域がシグネチャ項目の領域として特定される。また、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ ｍａｉｎ ｐａｒｔ」において示されたαバイトである場合、実行ファイルの先頭から１２９＋αバイト目から１３６＋αバイト目までの８バイトの領域がシグネチャ項目の領域として特定される。

一般に、電子メールに添付される実行ファイルは、ｂａｓｅ６４のエンコード形式でバイナリデータからキャラクタデータに変換されて送信される。従って、コンピュータウィルスの検出に用いられるシグネチャは、キャラクタデータに対応するものであることが望ましい。

サーバ１００は、バイナリデータである実行ファイルにおけるシグネチャ項目の領域の先頭位置がｎ＋１バイト目であり、シグネチャ項目の領域の大きさがｍバイトである場合には、ｂａｓｅ６４形式によるエンコード処理後のキャラクタデータである実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた位置のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた位置のキャラクタまでをシグネチャとして抽出する。

例えば、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」がシグネチャ項目となる場合、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在しない場合には、実行ファイルの先頭から１２９バイト目の位置がシグネチャ項目の領域の先頭位置であり、そのシグネチャ項目の大きさは８バイトである。従って、エンコード処理後のキャラクタデータである実行ファイルの先頭から、１２８／３×４の小数点以下切り捨て値に１を加えた値の位置（１７１バイト目）乃至（１２８＋８）／３×４の小数点以下切り捨て値に１を加えた値の位置（１８２バイト目）の１２バイトのキャラクタがシグネチャとなる。

一方、ＭＳ−ＤＯＳ（登録商標）互換ヘッダ及びＭＳ−ＤＯＳ（登録商標）スタブが存在し、これらの大きさが「Ｏｆｆｓｅｔ ｍａｉｎ ｐａｒｔ」において示されたαバイトである場合には、実行ファイルの先頭から１２９＋αバイト目の位置がシグネチャ項目の領域の先頭位置であり、そのシグネチャ項目の大きさは８バイトである。従って、エンコード処理後のキャラクタデータである実行ファイルの先頭から、（１２８＋α）／３×４の小数点以下切り捨て値に１を加えた位置乃至（１２８＋α＋８）／３×４の小数点以下切り捨て値に１を加えた値の位置のキャラクタがシグネチャとなる。

シグネチャ項目とシグネチャの具体的な対応関係を図５に示す。図５は、Ｋｌｅｚ．ｈウィルスに感染したバイナリ実行ファイルの「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容を描いている。ｎ＝１２８＋α＝３４４で先頭位置が３４５バイト目であって、３４５バイト目から３５２バイト目までの８バイト（ＨＥＸ２０，ＨＥＸＤ６――――――，ＨＥＸ００）が「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容である。

一方、Ｋｌｅｚ．ｈウィルスに感染した実行ファイルがｂａｓｅ６４形式である場合には、先頭位置が４５９バイト目であって、４５９バイト目からから４７０バイト目までの１２バイトのキャラクタデータ（Ａ，ｇ，――――――――――――，Ａ）が「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容となる。

本発明者は、本実施形態により抽出されるシグネチャを用いたコンピュータウィルスの検出実験を行った。なお、この実験では、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」を単一のシグネチャ項目として用いた。そして、検出対象の全てのコンピュータウィルスに対して、図４に示す手法でシグネチャが自動抽出された。更に、検出対象となる全てのｂａｓｅ６４形式のコンピュータウィルス、及び、ｂａｓｅ６４形式のエンコード処理を行って得られた１０００個のコンピュータウィルスでない実行ファイル（一般実行ファイル）を用意して、上記で抽出したシグネチャとのパターンマッチングが行われた。

コンピュータウィルスの検出実験の結果を図６に示す。図６において、コンピュータウィルス名は、実験に用いた検出対象のコンピュータウィルスの名称であり、トレンドマイクロ株式会社製のコンピュータウィルス検出ソフトウェアであるアンチウィルスにおける名称である。例えば「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」はプレビュー感染型のコンピュータウィルス、「ＷＯＲＭ＿ＳＯＢＩＧ．Ｆ」はメール感染型のウィルスである。また、シグネチャ番号は、特定のコンピュータウィルスについて複数のシグネチャが抽出される場合において各シグネチャを識別するための番号、検出率は、シグネチャを用いてそのシグネチャに対応するコンピュータウィルスを検出した確率、誤検出率（ウィルス）は、他のコンピュータウィルスをそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般）は、コンピュータウィルスでない実行ファイルをそのコンピュータウィルスであると誤って検出した確率である。

各コンピュータウィルスのうち、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」は３種類のバリエーションが存在する。このため、バリエーションのそれぞれに対応して３種類のシグネチャが抽出されている。

図６における検出率に示すように、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」以外のコンピュータウィルスについては、対応するシグネチャを用いることにより確実に検出されている。

一方、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」については前述のようにシグネチャが３種類抽出され、シグネチャ番号１のシグネチャが用いられる場合には検出率が９３．７９％、シグネチャ番号２のシグネチャが用いられる場合には検出率が４．３５％、シグネチャ番号３のシグネチャが用いられる場合には検出率が１．８６％であり、これらの検出率の合計は１００％となる。この結果は、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」の３種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して３種類のシグネチャが抽出されることにより、「ＷＯＲＭ＿ＨＹＢＲＩＳ．Ｂ」の全体の検出率が１００％になることを示しており、問題ではない。

また、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」と「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」については、誤検出率（ウィルス）が０％にならなかった。しかし、この結果は、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」の検出において「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」が誤検出され、「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」の検出において「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」が誤検出されたことを示す。これは、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」に対して更に「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」が感染した状態のコンピュータウィルスが存在することに起因する。すなわち、「ＷＯＲＭ＿ＫＬＥＺ．Ｈ」であり、且つ、「ＰＥ＿ＴＥＣＡＴＡ．１７６１−Ｏ」であるコンピュータウィルスの存在によって誤検出率（ウィルス）が０％にならなかっただけであり、実質的には誤検出ではない。

更に、図６における誤検出率（一般）は、全ての検出対象のコンピュータウィルスについて０％であり、高い検出精度が示されている。

このように、本実施形態のコンピュータシステムでは、サーバ１００は、コンピュータウィルスであると特定されたｂａｓｅ６４形式でエンコードされた実行ファイルにおける、固有値である可能性の高いヘッダ項目の領域をシグネチャ項目の領域として特定し、対応したシグネチャを自動抽出する。従って、従来のように、シグネチャの抽出において、専門知識を有する者がコンピュータウィルスを解析し、そのコンピュータウィルスの固有情報を探し出す必要がなく、シグネチャの抽出を迅速に行うことが可能となる。このため、コンピュータウィルス検出ソフトのメーカ等によって正式なシグネチャが抽出されるまでの間、サーバ１００が抽出したシグネチャを用いてコンピュータウィルスを検出することが可能となる。

また、実行ファイルのヘッダ項目は、その実行ファイルが圧縮された場合においても、一意に設定されるため、本実施形態のコンピュータシステムにおいて、ヘッダ項目の領域をシグネチャ項目の領域とすることにより、コンピュータウィルスが圧縮されていても解凍することなく、そのコンピュータウィルスを検出可能である。

また、本実施形態のコンピュータシステムにおいて、実行ファイルのヘッダ項目、特に「Ｉｍｐｏｒｔ Ｔａｂｌｅ」がシグネチャ項目として用いられることにより、コンピュータウィルスの検出において以下のような利点を有する。

具体的には、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」は、「ａｄｄｒｅｓｓ」と「ｓｉｚｅ」の２項目からなり、一例としてそれぞれ実行ファイルにおけるｉｄａｔａセクションと称される領域内にあるインポート・ディレクトリ・テーブルのアドレスとサイズとを表している。更に、このインポート・ディレクトリ・テーブルは、ＰＥ形式の実行ファイルの動作に欠かせないＤＬＬ（Ｄｙｎａｍｉｃ Ｌｉｎｋ Ｌｉｂｒａｒｙ）に関する情報を扱う部分である。このため、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容が改竄されると、実行ファイルが動作しなくなる可能性が高い。

すなわち、仮に、コンピュータウィルスが検出を逃れるために「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容を変更したとしても、その変更によりコンピュータウィルスは動作不能となる可能性が高いため、コンピュータウィルスによる被害は阻止される。

また、本実施形態のコンピュータシステムにより、実行可能圧縮が施されたコンピュータウィルスについても検出可能であることが、本発明者の実験により確認された。この実験では、前述と同様、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」がシグネチャ項目として用いられた。そして、検出対象の全てのコンピュータウィルスに対して、図４に示す手法でシグネチャが自動抽出された。

実行可能圧縮が施されたコンピュータウィルスの検出実験の結果を図７に示す。図７において、コンピュータウィルス名は、実験に用いた検出対象のコンピュータウィルスの名称であり、トレンドマイクロ株式会社製のコンピュータウィルス検出ソフトウェアであるアンチウィルスにおける名称である。また、シグネチャの番号（Ｎｏ．）は、特定のコンピュータウィルスについて複数のシグネチャが抽出される場合において各シグネチャを識別するための番号、オフセット（ｏｆｆｓｅｔ）は、コンピュータウィルスのファイルの先頭からシグネチャに用いたヘッダ項目である「Ｉｍｐｏｒｔ Ｔａｂｌｅ」までのオフセット値、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」のアドレス（ａｄｄｒｅｓｓ）及びサイズ（ｓｉｚｅ）は、それぞれコンピュータウィルスのファイルにおけるインポート・ディレクトリ・テーブルのアドレスとサイズ、検出率は、シグネチャを用いてそのシグネチャに対応するコンピュータウィルスを検出した確率、誤検出率（ウィルス）は、他のコンピュータウィルスをそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般実行ファイル・圧縮）は、コンピュータウィルスでない一般の実行ファイルであって、当該コンピュータウィルスと同一の圧縮形式により圧縮したもの（圧縮一般実行ファイル）をそのコンピュータウィルスであると誤って検出した確率、誤検出率（一般実行ファイル・無圧縮）は、コンピュータウィルスでない無圧縮形式の実行ファイル（無圧縮一般実行ファイル）をそのコンピュータウィルスであると誤って検出した確率である。

図７における検出率に示すように、「Ｎｅｔｓｋｙ．Ｐ」、「Ｎｅｔｓｋｙ．Ｃ」、「Ｂａｇｌｅ．ＡＤ」及び「Ｂａｇｌｅ．ＡＩ」以外のコンピュータウィルスについては、対応するシグネチャを用いることにより確実に検出されている。

一方、「Ｎｅｔｓｋｙ．Ｐ」については、シグネチャが２種類抽出され、シグネチャ番号１のシグネチャが用いられる場合には検出率が０．１０％、シグネチャ番号２のシグネチャが用いられる場合には検出率が９９．９０％であり、これらの検出率の合計は１００％となる。この結果は、「Ｎｅｔｓｋｙ．Ｐ」の２種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して２種類のシグネチャが抽出されることにより、「Ｎｅｔｓｋｙ．Ｐ」の全体の検出率が１００％になることを示しており、問題ではない。「Ｎｅｔｓｋｙ．Ｃ」、「Ｂａｇｌｅ．ＡＤ」及び「Ｂａｇｌｅ．ＡＩ」についても同様であり、２種類のバリエーションをそれぞれ別のコンピュータウィルスとして扱い、バリエーションのそれぞれに対応して２種類のシグネチャが抽出されることにより、全体の検出率が１００％になる。この結果は、「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容は、各コンピュータウィルスにバリエーションが存在する場合に、そのバリエーション毎に固有であり、必要最小限のシグネチャしか生成されないことを示している。

また、「Ｐｌｅｘｕｓ．Ｂ」と「Ｐｌｅｘｕｓ．Ｇ」の検出では、それぞれ別のコンピュータウィルスを誤検出しているが、実験に使用したコンピュータウィルス検出ソフトウェアでは、誤検出されたコンピュータウィルスは、「Ｐｌｅｘｕｓ．Ｂ」と「Ｐｌｅｘｕｓ．Ｇ」と同一であると定義されているため、実質的には誤検出ではない。

また、コンピュータウィルスの圧縮形式がその一種であるｔＥｌｏｃｋ以外である場合には、一般実行ファイルが圧縮されているか否かに関わらず、その一般実行ファイルをコンピュータウィルスであると誤検出する確率は０％であることが確かめられた。一方、コンピュータウィルスの圧縮形式がｔＥｌｏｃｋである場合には、一般圧縮実行ファイルをコンピュータウィルスであると誤検出する場合がある（図７の「Ｓｏｂｉｇ．Ａ」、「Ｓｏｂｉｇ．Ｅ」及び「Ｓｏｂｉｇ．Ｆ」）が、誤検出率は低く、非常用の検出フィルタとしては実用の範囲内である。

ところで、実行可能圧縮では、圧縮ソフトのバージョンや圧縮時のオプションにより、ヘッダの内容が変化する。図７では、「Ｎｅｔｓｋｙ．Ｊ」はｔＥｌｏｃｋのバージョン０．７１を使用して圧縮されており、その他のコンピュータウィルスはｔＥｌｏｃｋのバージョン０．９８を使用して圧縮されている。この結果は、一般実行ファイルとコンピュータウィルスの「Ｉｍｐｏｒｔ Ｔａｂｌｅ」の内容が一致するためには、圧縮形式が同一であることのみならず、圧縮ソフトのバージョンが同一であり、更に圧縮ソフトの実行において指定される各種のオプションも同一でなければならないことを示している。従って、圧縮形式が同一であっても、一般実行ファイルとコンピュータウィルスの「Ｉｍｐｏｒｔ Ｔａｂｌｅ」が一致する確率、換言すれば、一般実行ファイルをコンピュータウィルスであると誤検出する確率は、非常に低いと考えられる。

なお、前述した実施形態では、主に「Ｉｍｐｏｒｔ Ｔａｂｌｅ」をシグネチャ項目としたが、実行ファイル間で一致する確率の低い他のヘッダ項目をシグネチャ項目としても良い。

また、前述した実施形態では、サーバ１００がシグネチャを抽出したが、パソコン３００及び３１０がそれぞれシグネチャを抽出して、コンピュータウィルスの検出に用いるようにしても良い。

以上のように、本発明にかかるコンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムは、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となるという効果を有し、コンピュータウィルス固有情報抽出装置、コンピュータウィルス固有情報抽出方法及びコンピュータウィルス固有情報抽出プログラムとして有用である。

本発明のコンピュータウィルス固有情報抽出装置は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置であって、コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有し、前記特定領域が前記実行ファイルのヘッダ領域の一部である構成となる。

この構成により、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め定められた特定領域としてのヘッダ領域の一部に含まれる情報が、コンピュータウィルスであると特定された実行ファイルからコンピュータ固有情報として抽出される。

また、本発明のコンピュータウィルス固有情報抽出装置において、前記特定領域がヘッダ項目Ｉｍｐｏｒｔ Ｔａｂｌｅである構成とすることができる。
この構成により、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め定められた特定領域としてのヘッダ項目Ｉｍｐｏｒｔ Ｔａｂｌｅの情報が、コンピュータウィルスであると特定された実行ファイルからコンピュータ固有情報として抽出される。

また、本発明のコンピュータウィルス固有情報抽出方法は、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法であって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、前記特定領域が前記実行ファイルのヘッダ領域の一部である構成となる。

また、本発明のコンピュータウィルス固有情報抽出方法において、前記特定領域がヘッダ項目Ｉｍｐｏｒｔ Ｔａｂｌｅである構成とすることができる。

また、本発明のコンピュータウィルス固有情報抽出プログラムは、コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置において実行されるコンピュータウィルス固有情報抽出プログラムであって、コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有し、前記特定領域が前記実行ファイルのヘッダ領域の一部である構成となる。

また、本発明のコンピュータウィルス固有情報抽出プログラムにおいて、前記特定領域がヘッダ項目Ｉｍｐｏｒｔ Ｔａｂｌｅである構成とすることができる。

本発明は、実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域としてのヘッダ領域の一部に含まれる情報を、コンピュータウィルスであると特定された実行ファイルからコンピュータウィルス固有情報として抽出するため、コンピュータウィルス固有情報の抽出を迅速に行うことが可能となる。

Claims (30)

1. コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置であって、
   コンピュータウィルスであると特定された実行ファイルを取得する取得手段と、
   実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出手段とを有することを特徴とするコンピュータウィルス固有情報抽出装置。
2. 前記特定領域は、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域であることを特徴とする請求項１に記載のコンピュータウィルス固有情報抽出装置。
3. 前記抽出手段は、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項１又は２に記載のコンピュータウィルス固有情報抽出装置。
4. 前記特定領域は、前記実行ファイルにおけるヘッダ領域の一部であることを特徴とする請求項１乃至３のいずれかに記載のコンピュータウィルス固有情報抽出装置。
5. 前記取得手段は、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出手段は、前記取得手段により取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項１乃至４のいずれかに記載のコンピュータウィルス固有情報抽出装置。
6. 前記取得手段及び前記抽出手段は、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項５に記載のコンピュータウィルス固有情報抽出装置。
7. 前記抽出手段は、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項６に記載のコンピュータウィルス固有情報抽出装置。
8. 前記抽出手段は、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項１乃至７のいずれかに記載のコンピュータウィルス固有情報抽出装置。
9. 前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項１乃至８のいずれかに記載のコンピュータウィルス固有情報抽出装置。
10. 前記実行ファイルは、ＰＥ形式であることを特徴とする請求項９に記載のコンピュータウィルス固有情報抽出装置。
11. コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置におけるコンピュータウィルス固有情報抽出方法であって、
    コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、
    実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有することを特徴とするコンピュータウィルス固有情報抽出方法。
12. 前記特定領域は、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域であることを特徴とする請求項１１に記載のコンピュータウィルス固有情報抽出方法。
13. 前記抽出ステップは、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項１１又は１２に記載のコンピュータウィルス固有情報抽出方法。
14. 前記特定領域は、前記実行ファイルにおけるヘッダ領域の一部であることを特徴とする請求項１１乃至１３のいずれかに記載のコンピュータウィルス固有情報抽出方法。
15. 前記取得ステップは、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項１１乃至１４のいずれかに記載のコンピュータウィルス固有情報抽出方法。
16. 前記取得ステップ及び前記抽出ステップは、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項１５に記載のコンピュータウィルス固有情報抽出方法。
17. 前記抽出ステップは、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項１６に記載のコンピュータウィルス固有情報抽出方法。
18. 前記抽出ステップは、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項１１乃至１７のいずれかに記載のコンピュータウィルス固有情報抽出方法。
19. 前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項１１乃至１８に記載のコンピュータウィルス固有情報抽出方法。
20. 前記実行ファイルは、ＰＥ形式であることを特徴とする請求項１９に記載のコンピュータウィルス固有情報抽出方法。
21. コンピュータウィルスの検出に用いられるコンピュータウィルス固有情報を抽出するコンピュータウィルス固有情報抽出装置において実行されるコンピュータウィルス固有情報抽出プログラムであって、
    コンピュータウィルスであると特定された実行ファイルを取得する取得ステップと、
    実行ファイルにおいて固有であるとみなし得る情報の格納領域であると予め決められた特定領域に含まれる情報を、前記取得手段により取得された実行ファイルからコンピュータウィルス固有情報として抽出する抽出ステップとを有することを特徴とするコンピュータウィルス固有情報抽出プログラム。
22. 前記特定領域は、複数の実行ファイル間で一致する確率が所定値以下となる情報の格納領域であることを特徴とする請求項２１に記載のコンピュータウィルス固有情報抽出プログラム。
23. 前記抽出ステップは、前記実行ファイルが前記特定領域より前にオフセット領域を含む場合に、前記オフセット領域のオフセット値に基づいて、前記実行ファイルにおける特定領域の先頭位置を特定することを特徴とする請求項２１又は２２に記載のコンピュータウィルス固有情報抽出プログラム。
24. 前記特定領域は、前記実行ファイルにおけるヘッダ領域の一部であることを特徴とする請求項２１乃至２３のいずれかに記載のコンピュータウィルス固有情報抽出プログラム。
25. 前記取得ステップは、電子メールで転送されるエンコード形式の実行ファイルを取得するとともに、前記抽出ステップは、前記取得ステップにより取得されたエンコード形式の実行ファイルにおける特定領域の情報をコンピュータウィルス固有情報として抽出することを特徴とする請求項２１乃至２４のいずれかに記載のコンピュータウィルス固有情報抽出プログラム。
26. 前記取得ステップ及び前記抽出ステップは、ｂａｓｅ６４のエンコード形式でエンコードされた実行ファイルを扱うことを特徴とする請求項２５に記載のコンピュータウィルス固有情報抽出プログラム。
27. 前記抽出ステップは、前記エンコード形式の実行ファイルに対応したエンコード前の実行ファイルにおいて固有であるとみなし得る情報の格納領域の先頭位置がｎ＋１バイト目であり、大きさがｍバイトである場合に、前記エンコード形式の実行ファイルの先頭からｎ／３×４の小数点以下切り捨て値に１を加えた値の位置の第１のキャラクタから（ｎ＋ｍ）／３×４の小数点以下切り捨て値に１を加えた値の位置の第２のキャラクタまでの領域を前記特定領域とし、前記第１のキャラクタから前記第２のキャラクタまでのキャラクタ列をコンピュータウィルス固有情報として抽出することを特徴とする請求項２６に記載のコンピュータウィルス固有情報抽出プログラム。
28. 前記抽出ステップは、抽出したコンピュータウィルス固有情報を複数組み合わせて、新たなコンピュータウィルス固有情報とすることを特徴とする請求項２１乃至２７のいずれかに記載のコンピュータウィルス固有情報抽出プログラム。
29. 前記実行ファイルは、所定の実行可能圧縮形式で圧縮された実行ファイルであることを特徴とする請求項２１乃至２８に記載のコンピュータウィルス固有情報抽出プログラム。
30. 前記実行ファイルは、ＰＥ形式であることを特徴とする請求項２９に記載のコンピュータウィルス固有情報抽出プログラム。

Images