米国のアンチウィルス・ソフト会社のBBSでこのOWMngr.exeが話題になり始めたのが6月6日頃で、僕が右往左往しはじめたのが9日だからほぼ同時という感じだ。OWMngr.exeをTrendMicroに検体送付して調査を依頼した。翌10日にアップデートされたパターンファイル(561)でそのOWMngr.exe検出対策がなされ、2日後位にTrendMicroからレポート・メールが届いた。それで解決したわけではなかった。当該ファイルを削除し、さらにTrendMicroの公式情報と他サイトの詳細情報とを参照しつつレジストリの修正を行ってはみたものの、やはり1日に1回程度、OWMngr.exeの兄弟分のような常駐ファイルがネット経由で送りつけられてくるという現象は止まらなかった。疑惑のOWMngr.exeだけでなく、別の常駐系のプログラムが存在しているのは明らかで、そいつが悪さをしている。この件はネット上では周知となりつつあり、あるサイトでは「調査中」というクレジット表示もされていた。6/20にその後の報告ということで、SbSrch_V22.dllを削除せよ。このTROJ_CHECKIN.Bについてはほぼ問題は終息している。いっても、25日現在、TrendMicroのウィルスバスター2003ではまだSbSrch_V22.dllを検出しないようであるから公式的には問題は解決しているわけではない。このTROJ_CHECKIN.Bはいわば悪質のWEB広告事業者のなせるわざとはいうものの、実質的にはさほどの被害が発生したわけではない。コンピュータ・ウィルスといえば、ハードディスクを壊したり、PCを動かなくしたりというような「実害」を誰しも想起しがちだが、そういう視点で見れば穏やかなほうではある。AdwareあるいはSpywareと呼ばれるこの種のウィルスは今後のウィルスもどきの主流となると考えられ、実際今回のソフトはいわゆる受動攻撃によるもので、ユーザの意志とは無縁のままインストールされ起動常駐していた。このTROJ_CHECKIN.BはSbSrch_V22.dllとOWMngr.exeのセットで、前者が後者をネットからダウンロードして起動する。いう二重構造性を有する。これは、表示させたい広告が配信期間や配信比率などの絡みからその都度、日替わりで換えなければならない。いう広告特有の必要性の故であろう。実際、OWMngr.exeもどきのファイルは複数種検出されている。この親分(犯行教唆的なプログラム・ローダー)・子分(実行犯的常駐ソフト)の二重構造は実に危険きわまりない。オリジナルの配布者は広告用としか前提としていないのかもしれないが、当のSbSrch_V22.dllは常駐ソフトの受け取りをレジストリに記録したURLとhostsファイル(この有名なファイルが無惨にも大幅書き換えられていた)に依存しているだけであるから、すでにSbSrch_V22.dllが仕込まれていれば、(レジストリを変更するだけで)そのウィルスを乗っ取ることさえ可能なのだから。悪意の第三者がレジストリに記録されたURLを変更し、例えば「キーレスポンス記録」機能と発信者への返信機能を持つような常駐ソフトが配信されるように仕組んだらどうであろう。先日大問題となったインターネットカフェを利用したネット銀行の預金詐取事件と同様なことがネット上で大々的に起こりえる。TrendMicroにしてもSymantecにしても、扱っているウィルスの数が多過ぎるせいか、新ウィルスの発見と対策実施に想像した以上の時間を費やしているのが現状であるように見受けられる。それ故、ネット詐取事件はATMの破壊強盗と同じく犯行露見までの時間の長さで勝負されるようになるだろうから、実は対策が施された時点で被害はすでに確定していたりするような性質のものとなるだろう。そんなこんなで有名なアンチウィルス・ソフトであるが故に役に立たなかった。いう事態も考え得るのである。いう新しいウィルスの流行が本格化するなら、個人の財産や安全やプライバシーはかつてないほどに危うい状況に直面しているのだと言える。ウィルス対策ソフトを利用していても100%安全であるわけではない。未知の新型ウィルスからPCあるいは自身の財産・プライバシーを守るためのセキュリティは時にはまったくもって手探りでしか確かに出来ないという状況が実際にあるのだ。そもそもPC利用はほどほどのところで止めておく。手持ちのPC機は信用しないという態度が必要なのかもしれない。自分のマシンでありながら匿名利用するに留める。いう程度の軽さでしか対処できないのかな。かように少々陰鬱な気分にさせられたのが今回の事件の顛末なのであった。ちなみに、ウィルスバスター2003(PC-Cline)のパターンファイル655に至って、SbSrch_V22.dllがようやく検出隔離されるようになっている。当初これはAdwareで検出隔離対象外という見解を回答として受け取っていたのだが、これを削除しなければ根本的にこのウィルスの活動を停止できないということが確認されたようだ。この問題はこれで終息ということになるだろう。(2003/12/12)内部用途専用で使用していたLinux9.0ベースのバックアップサーバーが頻繁にダウンするようになった。機能停止までの時間も起動後30分から3時間と不定で、さらに機能停止後にリセットしても再起動しない。いう致命的な症状さえも呈していた。不良だとすると面倒なことになるな。いうのも、このバックアップ・サーバーはフロントWWWサーバー同等の設定、環境を含みつつ開発途中の重要なファイルや実験のための諸設定、さらには昔のログファイルなど、など、膨大かつ微妙な内容であるため、簡単に他のマシンへ移行させ難いからだ。BIOSでメモリの設定などを行った際に、基板の状態をモニターする機能がBIOSにあることに気がついて、電源投入後の変化をモニターしてみた。すると、通常は摂氏55度前後で推移しているCPU温度がある時点から急に上昇し出し、摂氏90~95度を越えると、突然画面が消えてハングアップ(熱暴走)状態に陥ることがわかった。電源を切って自然空冷した後に再起動させてモニタすると、CPUファンの回転数に異常があることがわかった。4500~6000回/分転前後のファンにもかかわらず、暴走時には800~1500回/分転くらしか回っていない。他のマシンなど空冷音などでバックアップサーバーのCPUファンに異音が生じているかよく聞き取れない環境であるため、耳ではその異常さを看取できなかった。ツクモへ出かけて、CPUファンを購入。交換してみれば、サーバーダウンは見事に無くなった。度重なる熱暴走にもかかわらずCPUは熱破壊を免れていた。これはマザーボードの熱暴走保護回路のおかげだろう。いずれにしても二次被害もなく、ファンの交換だけでトラブルを終息させることができた。以前から、空冷ファンに依存したCPUを実装したシステムの寿命はそのCPUファンにこそ依存していると考えていたが、まさにその通りの事態であった。何年も連続稼働させればファン系に異常が生じるのは当たり前。高熱を発するCPUの空冷ファンであればなおさらであろう。今回のサーバーは約2年弱の稼働。この程度でCPUファンが逝ってしまうとはちと情けない気もする。