“機能面”ではウイルスと同じに

 名前の由来の通り,ボットはマシンを操ること(攻撃者がそのマシンを操れるようにすること)が主な目的である。従来のウイルスのように感染を広げることが主目的ではない。操るのが第一,感染は二の次だった。そのため,出現当初は「有用なファイルに見せかけてインストールさせたり(いわゆる「トロイの木馬」),ネットワーク共有で感染を広げたりするだけのボットが多かった」(セキュアブレインの星澤氏)。

 “大々的”に感染を広げないようにして,ユーザーにばれないようにするという目的があったのかもしれない。「ユーザーに気付かせないことが,ボットの特徴の一つ。気付かせなければ,長期間稼働していられる」(トレンドマイクロの岡本氏)

 だが,ある程度は感染を広げないと,“強力な”ボットネットを構成できない。そこでボット作者は,従来のウイルスの感染メカニズムを取り入れ始めた。具体的には,「内蔵するリスト(辞書)を基に,ログイン・パスワードなどを破って侵入,感染する」「Windowsなどのセキュリティ・ホールを突いて侵入,感染する」――といった感染メカニズムを備えるボットが一般的になってきた。こうなると,その悪質なプログラムは,ウイルスでもあり,ボットでもある。

 一方,従来のウイルスも,ボットの一般的な“機能”を備え始めた。「バックドアを開いて,攻撃者の命令のままに動作する」機能を備えたウイルスは,現在では多数出現している。マス・メーリング型の“代表選手”であるNetskyやMydoomなどの変種にも,これらの機能を備えたものが多い。

 「外部からの命令に従って動作をするプログラムを『ボット』と定義すれば,NetskyやMydoomの変種もボットの一種と呼べるだろう」(星澤氏)。もはや機能面では,ボットなのか,ウイルスなのか区別はできない。「ボット作者もウイルス作者も,自分たちにとって“有用な機能”はどんどん取り入れるので,両者の違いはなくなってきている」(岡本氏)

 いかにも“ボット”と思われる名前を付けた悪質なプログラムもある。「Spybot」や「Gaobot(Agobot)」,「Rbot」などである。前述のように「IRC Bot」というものもある。これらはあくまでもオリジナルが“純粋な”ボットであることを示すだけ,元々どのコード(ソース)に由来しているかを示すだけである。機能で区別しているわけではない。ちなみに,ボットに由来していても“ボットらしい”名前が付いていない場合もある。「Randex」などは代表的なボットの一つだが,「bot」という文字列を含まない。

 なお余談ではあるが,代表的なスパイウエア対策ソフト「Spybot-S&D(Spybot Search&Destroy)」と,前述のSpybotは当然のことながら全くの別物である。しかしながら,Spybot-S&D は“S&D(Search&Destroy)”の部分が省略されて,“Spybot”と呼ばれる場合があるので,混同しないように注意したい。Spybot-S&Dは対策ソフトであり,悪質なプログラムではない(関連記事)。

 さて,「機能面で違いがないのなら,“ボット”をあえて区別して考える必要はないだろう」――。そう思われる方は少なくないだろう。確かに,機能面では違いはほとんどなくなってきている。だが,依然大きな違いがある。ほとんどのボット――正確には,「“純粋な”ボットに由来する悪質なプログラム」あるいは「ボット系プログラム」とでも呼ぶべきか――は,そのソース・コードが公開されている。このため,通常のウイルスとは比較にならないペースで,新しい変種/亜種が出現しているのだ。

 明日は引き続き,従来のウイルスにはなかったボットの新たな脅威と,それに対する防御策を述べさせていただきたい。

続き(下)を読む

(勝村 幸博=ITpro)