斉藤ほづみ

斉藤ほづみさんがリツイートしました REY@FGO/ガジェット

「ごく少数を狙うことはない」と書いているのに、なぜ『「ごく少数を狙う」というのはちょっと時代遅れな情報』と繋がるのでしょうか。 情報云々以前にまず日本語をきちんと読んでください。 https://twitter.com/rey1229/status/673831467361763328 …

斉藤ほづみさんが追加

斉藤ほづみさんがリツイートしました REY@FGO/ガジェット

「脆弱性が発見されたら公開」と「ゼロデイ攻撃が発見されたら攻撃」の違いがわからないのであれば、まずその点を勉強してください。 脆弱性は通常、修正されるまで公開されませんが、ゼロデイ攻撃が実際に確認されれば修正前でも警告はなされます。 https://twitter.com/rey1229/status/673831115602288640 …

斉藤ほづみさんが追加

以上が「VVVウイルス」に関する現状、把握している情報です。 これからTogetterで纏めますね。しばらくお待ちを。

とはいえ、ランサムウェア配布側の視点で考えれば、各種対策がされる前にできるだけ被害者を増やすのが理想なので、報告にすら上がらないようなごく少数だけを狙い撃ちにする理由は殆ど考えられません。 なので現実的な表現として「なかった可能性が限りなく高い」としか言えないのです。

可能性だけだろって言われるかもしれませんが、それは当たり前です。 何しろ「ゼロデイ攻撃がなかったこと」の証明は、いわゆる悪魔の証明になってしまうからです。

繰り返しますが、 ・CryptoWall4.0（VVVウイルス）の感染そのものはあった ・但しそれは既知の脆弱性をついたものしか観測されていない ・故にシステムのアップデートやウイルス対策ソフトで防げるものだった が今回の真相の可能性が非常に高いのです。

もちろん将来的にCryptoWallやそれに類するランサムウェアが未知の脆弱性を用いた攻撃を行う可能性はあります。 が、それはあくまで可能性の話であって、今回の問題の当面の回避策とは別の話題です。関連がないとは言いませんが。

ですので今回の件に関して言うなら、ゼロデイ攻撃が行われた可能性は低いですし、ゼロデイ攻撃があったとする発言は基本的にデマと考えて問題ないと思います。 （必ずしもデマは故意に生まれるものではないので、デマを流そうと悪意があったかどうかは全くの別問題である点にご留意ください）

それはそれとしても、件のツイートに関して、改めて。 「一般的なウイルス対策の知識が役に立たない」は明確に間違いです。 「現時点で全く対策方法がなく」も間違いだった可能性が非常に高いです。 少なくともゼロデイ攻撃が観測されたという情報はありません。

そもそも論で言ってしまうのなら。 何度もツイートしましたが「具体的な対策が伝わらない注意喚起は注意喚起ではない」です。 だって「危険ですよ！気をつけてくださいね！」とだけ言われて対策できる人なら既に対策していますよね？ その点において、この注意喚起は注意喚起になっていないのです。

それ以外の情報（たとえば「研究家が検索してミイラ取りがミイラになった」等）は兎も角、こういった中途半端な情報が危機感を煽ったり、最新のパッチでも対応できないといった流言飛語を産んだ原因ではないかと。 だって、ソフトウェアを最新の状態に保つのは「一般のウイルス対策の知識ですものね。

で、一般論と状況証拠のどちらを優先するかという点は置いておいて、問題は前述の一般論（「ゼロデイ攻撃は最新パッチでも対応できない」）を、今回の問題にすり替えて、注意喚起として「一般のウイルス対策の知識では対応できない」「ほぼ強制的に感染する」と断言してしまった点です。

ですが、今回の問題に関しては、ゼロデイ攻撃が行われた可能性は低いと考えられます。 根拠は前述のように、ゼロデイ攻撃の可能性について、何らかの兆候があれば通常、すぐに注意を喚起するセキュリティ会社や研究家、あるいは公的機関が一切告知していないことです。

次に2つめのblogに関して。 こちらには、『最近は、Adobe 製品や Java のゼロディをついてくるマルウェアも出現しています。だから、最新にすれば対策になるかというと、残念ながら気休め程度にしかなり確実とはいえません。』 と書かれています。これは一般論としては事実です。

斉藤ほづみさんがリツイートしました REY@FGO/ガジェット

件のツイートに関しては、元情報として https://twitter.com/rey1229/status/673384876117069824 … これらの情報が提示されているので、順番に検証していきます。 まず1つめのURL（読売新聞）に関しては、私が前述したようにソフトの更新等で対応できる旨が書かれています。

斉藤ほづみさんが追加

斉藤ほづみさんがリツイートしました 斉藤ほづみ

で、もう1点。今回のマルウェアに関しての誤情報は、ある程度発生元が絞られていると考えます。 https://twitter.com/rey1229/status/673250244444839936 … こちらです。 何が問題なのか、サマリーは私が以前に指摘画像を作りましたが。 https://twitter.com/S_Hodumi/status/673303735515275264 …

斉藤ほづみさんが追加

もちろんこれはある種の状況証拠でしかありません。 が、特にウイルスの検体が手に入らない・確認できない状況ではどうやっても状況証拠から判断するしかないことはありますので、それはご理解ください。 むしろ「感染源のサイトが生きてれば」いくらでも検証できるんですけどね、これ。

それでも相応数の感染が確認され、海外では多少話題にはなりました。 ……ただ、そこまでなのです。 もし未知の脆弱性によるゼロデイ攻撃であれば、騒ぎは日本国内・国外を含めて、この程度で済んではおかしいのです。 今回の件に関して、その点をまず留意すべきです。

そも、今回話題になっているマルウェアと思われるCryptoWall4.0の報告事態は12月初頭に発生していました。前述のHEIMDALのblog等です。 ですが、それがさほど大きな話題になっていないのは、所詮は既知の脆弱性をついたものだから、という側面もあります。