バラいろダンディ 苫米地 博士の『サイバー攻撃対策』が酷すぎるので解説

"アンチウイルスソフトはアンインストールしてください、とMXでいってる。 https://twitter.com/asa_nama/status/570927200683188224/photo/1

なんか、酷い番組だな…と思ったので調べてみた。

2015/3/2 二転三転しましたが、結論：

Sterxnet ウィルスについてのセキュリティ会社の報告書に、カーネルに感染した後、感染過程で『ウィルス対策ソフト』に改ざんされたカーネルを読み込ませることによって、ウィルス本体のダウンロード＆インストール検出されないようにする仕組みを利用している のだが、それを博士がアンチウィルスが乗っ取られたと勘違いされてるのが原因のようだ。なお、ウィルス対策ソフトが入っていなければ、Windows のシステムに入っているシステム実行ファイルを利用するので。単純に攻撃を検出できる最新のウィルス対策ソフトが入ってるかが鍵になるのであって、アンインストールすればよくなるということは絶対にない。なお、報告書には、アンチルートキット機能がある一部のウィルス対策ソフト（第3世代以降）では検出して、ユーザーに警告を出したと書かれているので、防げた事例もあるようだ。

バラいろダンディ(2015/02/26 21:00)の実況レポート｜Shoutry

コンピュータの中で最強の権限を持っているので、それが一度でも乗っ取られたら、隅々まで全部見通せる、つまりターゲットのコンピュータやネットワーク全てを破壊できる権限をも持てるので、アンチウィルスソフトを入れるのは良くないとのこと。 #tokyomx 2015-02-26 21:51:37 Avastたん今までお世話になりますた。。。 #tokyomx 2015-02-26 21:48:58 苫米地さん曰く、サイバー攻撃への対策として、自分の端末を、よそのネットワークでの使用は危険。アンチウィルスソフトウェアはアンインストールして、 OSのアップデートがある度に頻繁に更新し、コンピュータを使用しない時はPCもルータも電源OFFにすべきとのこと。 #tokyomx 2015-02-26 21:48:23

実況内容を参照 … どういうことか把握

サイバー攻撃進化の三段階の理解が日本の安全保障のためになる！｜池袋 夢が叶わない遠隔気功

1番はBIOSやハードディスクにコードが埋め込まれていること、ゼロデイ攻撃には役に立たないこと、アンチウィルスソフトの持つ権限が強いので、それ自体が乗っ取られると危険なことが理由のようです。 2番は、脆弱性対策としては必須です。しかし、システムを運用していると、安定して動いているのに変更を加えると逆におかしくなることも有り、事前の検証が必要です。 3番は、ルータも含めて電源を切ることです。乗っ取られて踏み台にされないようにするためです。 4番は、政府などに頑張ってもらわないと難しかもしれませんが。 とりあえず、できることから始めてみましょう。1番はパラダイムシフトが出来ていないと実行するのは難しいかもしれませんね。

こちらのブログで詳しい説明があった。

HDDのファームウェアに感染するマルウェアが登場、逃れる術はないことが判明 - GIGAZINE
おそらくこのニュースを見て、番組を作ったのだろう。

というわけで、問題点についてとことん突っ込むことにする。

ウィルスソフトを乗っ取るマルウェアの存在が問題。更にウィルスソフトが起動する前にBIOSブートでハードディスクから直接マルウェアが立ち上がる技術が拡散中。つまりウィルスソフトでは守れず、逆に乗っ取られれば致命的リスクが上がる RT ウイルスソフトは危険なのでしょうか？ 3:24 - 2015年2月27日

こちらが苫米地 博士とやらの Tweet

まず、ITリテラシーの低い人が使う『ウィルスソフト』って言葉を連呼してる辺りが…。
おそらく『アンチウィルス』の事なのだろうけどなんだかなって思った。

1. BIOSやハードディスクにコードが埋め込まれていること、ゼロデイ攻撃には役に立たないこと、アンチウィルスソフトの持つ権限が強いので、それ自体が乗っ取られると危険⇒今後、アンチウィルスはアンインストールする。

まず、１から突っ込み

・PCの権限で一番強いのは OS。 アンチウィルスではない。OSが乗っ取られてしまえば、簡単にアンチウィルスは無効化されたり、アンインストールしたりできる。 OSのAPIを乗っ取ってしまえば、たとえば、ファイルの書き込みAPIに細工をして、特定のデータを書き込もうとしたときにHDDを破壊することだって可能だ。
一番強い権限のソフトを消してしまえっていうのなら 独自OSを作って入れるしかない。アンチウィルスを消すのは筋違い

・そもそも、BIOSやハードディスクに感染するマルウェアだが、そもそも 日本では見つかっていない。

もう、これは、恐ろしい病気が外国ではやってて（実際は点在してる程度のレベル）、ワクチンが毒化する可能性があるから（毒化の証明はされていない）、接種するのはやめよう！って言ってるのと同じ

・『政府関係機関、軍事機関、通信会社、金融機関、原子力研究者、メディア機関、イスラム主義活動家』で見つかったと言われているが、組み込みのPCにはアンチウィルスが入っていないことも多く、それが原因だと思われる。 また、HDDやBIOSで見つかったとされているマルウェアは感染したとされているのだから、感染する前なら、予防することができるのだから、アンチウィルスを消さなければそもそも感染しない可能性が高いのである。

・『アンチウィルスが乗っ取られたら～』と言っているが、アンチウィルスなんて、何種類もあってアルゴリズムも様々、それを安定にのっとって何かするなんて事、普通は無理です。
それなら、仕様が分かっているOSのAPIを乗っ取った方が数万倍簡単です。

2．WindowsやMacO/Sは、最新の状態にアップデートする。

次は、2番。 まず、 『Mac O/S』 ってなんだよ！って突っ込みたいのだけど。
ここ最近のウィルスはOSの脆弱性を利用して、感染するものなんてほとんどありません。
まずは、ウィルスの感染の 90％は Java / Flash Player が原因、ついで Internet  Explorer 等のブラウザ。

OSさえ最新にしておけばウィルスに感染しない？
寝言は寝て言いましょう ・ω・

3番は、ルータも含めて電源を切ることです。乗っ取られて踏み台にされないようにするためです。

３は、まぁいいとして…

4．2000年問題以上のリスク。国内の原発を含む重要施設の制御コードをすべて書き換えるべき。

・制御コードを書き換えるってことは、ハードウェアの作り直しが必要。
・制御コード書き換えても、端末がハッカーの支配下にあったら意味ない。

むしろ、無駄だし、作り直すこと自体にリスクがある。

原発は危険だから廃止しようって流れっすか？無理ありすぎ。

とりあえず、こんな、酷いデマ、放送で流すな と言いたい。

アンチウィルスを削除した結果。HDDに感染するというやばいマルウェアはおろか、普通のウィルスにも感染するようになる。

分かり易くいうと、ボディーガードに内通者がいると危険だから、一切近くに人は置かない。一人で全部やる。
って言ってるのと同じ。 ちょっと考えればわかりますよね？

絶対、アンチウィルスソフトはアンインストールしないでください。

以上

＃追加

苫米地 博士からTweetが飛んできたので、なんで、そんな考えに至ったかを分析してみた。

博士『Stuxnetをまず理解して』 私『Stuxnetを最初に作ったのはNSAがらみ模倣してCD向けウィルスが生まれた。同様にファームに感染するものもNSAの諜報が目的で、アンチウィルスをアンインストールしたら悪意のあるウィルスの攻撃にさらされる。本末転倒ではないか』 博士『ゼロデイという意味分かるかな？ それとアンチウィルスソフト乗っ取りはStuxnetだよ。ネット記事でなく報告書読んで』 私『Stuxnet系のウィルスがアンチウィルスを制御下において危険に晒されるなど聞いたこともない。Stuxnetが何なのか理解できてないのでは？』 博士『君の理解は間違ってるよ。まず専門に勉強して。ゼロデイはアンチウィルスソフトが効かないという意味。君とのこの話は終わり』 私『ゼロディにアンチウィルスソフトは全く効果がないとか言ってるのは２世代以上前のアンチウィルスの話。一体何年前の話してるんですか？』 博士『君が知らないだけだよ。相手を良く知ってから悪口ブログに書いたら』 私『悪口ではなくて公共の電波で言ってはいけない嘘があるというだけ。アンチウィルスをアンインストールしたら沢山の人がリスクを被るのでは？』 博士『一応正確に言うとStuxnetはウィルスでなくてMalware。君とのこの話はこれで終わり。ただこの分野はリスクがあるから想像で情報を拡散しないで』 博士『だからゼロデイは特定ウィルスの名前でなくて、"現在の"アンチウィルスソフトが役に立たないマルウェアに対する概念だよ。もう話終わりにするよ』 私『ゼロディはアンチウィルスが役にたたないマルウェアではなくて、実際に脆弱性がふさがれていないけど、攻撃があるという概念でそちらが間違っています』 私『ゼロディの脆弱性であっても、アンチウィルスで検出できるものはいくらでもある』 博士『ウィルスソフトが対応可能なO/SのセキュリティホールはCMU CertメンバーのApple役MSも常にO/S側で現在対応しているという話。MX見てないでツィートしてたのか な。ゼロデイはO/S更新もアンチウィルスソフトも対応できない』 私『アンチウィルスソフトで防げてもゼロディという。そこから間違ってる。全然違う』 博士『そう、だからアンチウィルスソフトが役に立たない。分かったかな。アンチウィルスソフトが効いたらゼロデイと言わない』 私『OSがゼロディの脆弱性に対応できず、修正までの間。アンチウィルスや、脆弱性防御ソフトで防ぐという事例はよくある 』 博士『逆もね』 私『そもそも、Stuxnet自体が、もともと2010年、2012年の既存の Windows の脆弱性を利用して作られたマルウェアなので、既存の脆弱性を利用してハードウェアをバイパスするという意味では斬新ですが、ゼロディとは関係ないと思います』 博士『EquationGroup報告書読んで。ほんとにもう終わり』 私『そもそも、あの報告書に、日本の感染報告書いてなかったじゃないですか。 なのに、ウィルスだらけのネットワークで、アンチウィルスソフトをアンインストールさせることが正しいってのだけは納得いかないです』

多分、博士は、他の記事を読んで内容が整理しきれてないと思った。

その記事とは
「アンチウイルスソフトは死んだ」とノートンで有名なシマンテック幹部が告白、半分以上の攻撃を検知できず - GIGAZINE

１．ゼロデイに関する勘違い
2世代前の、パターン検出型のアンチウィルスは確かにもう時代遅れで検出できないことも多いのだが、アンチウィルスソフト自体を入れなくても同じかというと、そうじゃない。
脆弱性利用の方法にはパターンがあるため、最近のアンチウィルスソフトは、プログラムの挙動や、ファイル・レジストリの取り扱いで怪しいプログラムを検出することができる。(いわゆるリアルタイム分析)
だから、ゼロディの脆弱性が判明すれば、挙動からマルウェアを検出することができるようになるのだ。ゼロデイにアンチウィルスでは対応できないというのは大きな認識の誤りです。

２．Stuxnetに関する勘違い
工場にサイバー攻撃、制御システム「汎用化」で危機
次、Stuxnet をアンチウィルスを乗っ取るマルウェアだと言っていた。
Stuxnetは、原発などを制御するPCを乗っ取っただけであって、セキュリティソフトを乗っ取ったなんて話ではないのである。

アンチウィルスソフトのアンインストールを勧めるのも同じ。イラン核遠心分離機へのStuxnet攻撃では主要アンチウィルスメーカーほぼ全対応のMalwareに実際にアンチウィルスソフトが乗っ取られ攻撃利用されたから。安全保障観点ではアンチウィルスソフトはセキュリティリスク 2015/2/28 1:23:47

エフセキュアブログ : Stuxnet、Duqu、Flameについて

Stuxnetは、イン・ザ・ワイルドになって1年以上、検出されず、ベラルーシのアンチウイルス企業が問題の起きたイランのマシンをチェックするために 呼ばれ、ようやく発見された。研究者がStuxnetに似たものをアーカイブで探し求めたところ、Stuxnetで使用されたゼロデイエクスプロイトが、 他のマルウェアと共に、以前使用されていたことを発見したが、当時はそれに気づいていなかった。DuQuという関連するマルウェアも、1年以上、アンチウ イルス企業の検出を免れていた。 Stuxnet、DuquそしてFlameはもちろん、通常の良くあるマルウェアではない。3つはす べて、発見されないことを意図した秘密オペレーションの一部として、西側諜報機関によって開発された可能性が高い。同マルウェアが検出を回避したという事 実が、攻撃者がいかに良い仕事をしたかを証明している。StuxnetとDuQuの場合、これらのマルウェアを信頼できるアプリケーションに見せかけるた め、彼らはデジタル的に署名されたコンポーネントを使用した。そしてコードをカスタムパッカや難読化エンジンで保護しようとする代わりに（そうすること で、疑いを向けられる可能性がある）、ありふれた外観の中にひそませた。Flameの場合、攻撃者はSQLite、SSH、SSLおよびLUAライブラリ を使用して、コードがマルウェアの一部というよりは、ビジネスデータベースシステムのように見せかけた。

多分、アンチウィルスソフトを入れていると危険だ！という発想はここから生まれたのだと思われる。
OSの制御を奪われれば、その配下に入ってるソフトは関係ないよってこと。

ウイルスバスターにおける任意コードの実行を許可してしまう脆弱性について | サポート Q&A：トレンドマイクロ
そういや、昔TrendMicroさんの劣化セキュリティソフトに脆弱性があった。
これは、バグのない完璧なアプリケーションは無いのだから導入するアプリケーションや機能は少ないに限るということで、完璧じゃないものはすべて消してしまえって考えだと、ちょっと厄介ですよね。
映画の人工知能じゃないんだから、攻撃されてセキュリティソフトが足がかりになるケースは稀にあっても、乗っ取られて攻撃に回るなんてことはないのです。入れておいたほうがはるかにリスクは減ります。

３．最近のウィルス事情が分かっていない？
３の『使わない時は電源を切る』っての、あんまり気にしてなかったんですが、人間が介在していればマルウェアに感染したりしないって思ってるんじゃないんだろうか？OSのアップデートさえすれば、人間の判断で脆弱性が防げるような勘違いをしてるような印象を受けた。最近のウィルスやマルウェアは、人間によるブラウジングや、クリックがトリガになるものが大半なので、使ってる時が一番危険だということを理解できていないんじゃないかと思った。
博士は自分で『ゼロディでOSのアップデートでは対応できないことがある』って言ってるのに、セキュリティソフトなかったら防御できるわけないじゃないですか？
ATMや政府官庁や国家レベルでの話だって意見もあったんですが、『ルーターやPCは使わない時は電源を切る』って言ってる時点で個人の話も含んでると思うよ？

おまけ
さて、ここで 博士はATMや核施設に感染した Stuxnet 系のウィルスにこだわっていらっしゃったので 博士の4つの推奨事項を銀行のATMに当てはめてみましょう。

・アンチウィルスはリスクが高く危険だから入れない
　いかなる低レベルなマルウェアも検出できなくなる。
・客がいない時は電源落とす。
　強盗『電源落ちてるから破壊しても異常を検出できないぜ！ヒャッハー！』
　客『なんで、メニューが出てくるまでに何分も待たされるのよ！（ATMは起動に数分かかります）』
・毎月WindowsUpdateが出たらすぐにパッチを当てる。
　銀行員『なんてこったATMが起動しなくなったぞ！全国のATMがすべて利用不可能になった！』
　マイクロソフト『すんません、今月のアップデートバグがありました』
・銀行のシステムとのやり取りをするコードを全て作り直す
　み●ほ銀行『すみません、コード作り直したのでバグがありました。システムが停止します』

|｡･ω･)。o ( これは、なんかの罰ゲームに違いない！ )

※ 2015/2/28 さらに追加。
番組見た人から
『博士は国家レベル情報セキュリティの話をしてるのであって、あなたの一般論ベースの個人セキュリティの論理とは認識のレベルが違いすぎます。http://live.nicovideo.jp/watch/lv211606929』
『そもそも、イラン核遠心分離機攻撃の例ではアンチウイルス乗っ取りの目的はroot権限乗っ取りではない』
『「アンチウイルスをすり抜けた」が一般に流布されている情報で、「アンチウイルスを乗っ取った」が一般に認識されていない真実』

などの意見をいただきましたが、
『国家レベルの防衛をするために、個人でセキュリティソフトをアンインストールしろ』って主張は飛躍しすぎだと思います。
アンチウィルスを消した時点で、危険だといわれてる国のウィルスに感染し放題になって意味がありませんし別の経路で踏み台になる可能性のほうが高いです。
一般的な話なら、『セキュリティソフトですべてが防御できるとは限らない』
ちょっと進んだ話で、トレンドマイクロやKingsoft やJustInternet Security　など、出所の怪しい会社のセキュリティソフトは何が埋め込まれてるかわからず、危険があるからインストールしない。
LenovoやSamsungの携帯やPCはファームレベル・プレインストールソフトでで何が入ってるか分からないから購入しないって話だと思います。

ニコ生の視聴が￥８００でお金出してみる価値があるのか、非常に疑問なので、2週間後に再放送あるそうなので確認する予定です。

※2015/3/1 追加

a さんから、ニコ生での詳しい情報をいただきました。ありがとうございます。
botnet-research-papers/Stuxnet_Under_the_Microscope.pdf at master ・ anfractuosity/botnet-research-papers ・ GitHub
確かにこの文書は読んでなかったので非常に参考になりました。

『要アンチウイルスソフトのプロセスを乗っ取り、
モジュール(stuxnetのプログラム)をダウンロードするように書き換える』との事ですが、読んでみると、ホストプロセスとして、権限の高いホストプロセスに、改ざんしたWindows のNTカーネルのAPIを読み込ませて、ダウンロードさせるというのが正しいようです。アンチウィルスの常駐プロセスがない場合は、Windowsのシステムプロセスでも構わないようです。その理由としては、アンチウィルス自身のプロセスで実行させることによって、不穏な挙動の検出を逃れるためなので、アンチウィルスが入ってるかどうかは全く関係なく感染します。アンチウィルスが原因で感染したというよりは、初動でアンチウィルスが検出できなかったため、システムが書き換えられてしまい、その後の、ウィルスの活動がヒューリスティックアルゴリズムで検出されないように、入ってるアンチウィルスのプロセスを利用したというのが正しいようです(文書にも再起動して、攻撃を開始するまでに関連ファイルが殺されないようにするための処置だと書かれてるかと）。だから、やはり、アンチウィルスを入れなければ感染しない。だから、アンインストールするべきだというのはかなり無理があります。文書にも、アンチルートキット機能がある、第３世代以降の一部のアンチウィルスは初期の感染で検出できると書いてあります。