ポリモーフィック型ウイルスの説明｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問5
出典：平成27年秋期 午前Ⅱ 問5
分野：セキュリティ ／ 情報セキュリティ
ポリモーフィック型ウイルスの説明として，適切なものはどれか。
- ア：インターネットを介して，攻撃者がPCを遠隔操作する。
- イ：感染するごとにウイルスのコードを異なる鍵で暗号化し，同一のパターンで検知されないようにする。
- ウ：複数のOSで利用できるプログラム言語でウイルスを作成することによって，複数のOS上でウイルスが動作する。
- エ：ルートキットを利用してウイルスに感染していないように見せかけることによって，ウイルスを隠蔽する。
TSUNAGARU-ADVICE
まず押さえたいこと
ポリモーフィック型ウイルスは、感染するたびに自身のコードを暗号化する鍵や表現を変化させ、同じシグネチャでは検知されにくくするマルウェアです。ポイントは、感染ごとにコードの見た目を変えてパターン検知を回避することです。
迷ったときの判断軸
遠隔操作を行うものはRATなど、複数OSで動作することはクロスプラットフォーム性、ルートキットを利用するものは隠蔽や潜伏に関係します。ポリモーフィック型では、暗号化・鍵の変更・シグネチャ回避という組合せを手掛かりに判断しましょう。
科目Bにつなげるために
科目Bでは、マルウェア検知・シグネチャ型対策・ビヘイビア法・EDRなどと組み合わせて問われることがあります。ポリモーフィック型は同じパターンで見つけにくいため、コードの一致だけでなく実行時の振る舞いや不審な通信も見るという検知の考え方につなげて整理しましょう。
ポリモーフィック型ウイルスは、感染するたびに自身のコードの見え方を変化させ、同じパターンで検知されにくくするウイルスです。
代表的には、ウイルス本体を異なる鍵で暗号化し、復号処理なども変化させることで、感染するたびに異なるコードパターンをもつように見せかけます。これによって、単純なシグネチャベースの検知を回避しやすくします。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：インターネットを介して，攻撃者がPCを遠隔操作する。
⇒バックドア型マルウェアやRATなどに関する説明です。ポリモーフィック型ウイルスの特徴は、遠隔操作ではなく、自身のコードパターンを変化させることです。
ウ：複数のOSで利用できるプログラム言語でウイルスを作成することによって，複数のOS上でウイルスが動作する。
⇒クロスプラットフォームで動作するマルウェアに関する説明です。ポリモーフィック型ウイルスの特徴ではありません。
エ：ルートキットを利用してウイルスに感染していないように見せかけることによって，ウイルスを隠蔽する。
⇒ルートキットによる隠蔽に関する説明です。ポリモーフィック型ウイルスは、コード自体を変化させて検知を回避しようとする点が特徴です。