次のページへこんなに簡単にできてしまう偽装ファイルRLOを利用したファイルの拡張子偽装と言葉で聞いても、その偽装方法のイメージがわかないと思いますので、実際にどのような手法なのかお見せしたいと思います。本記事では、ウイルスバスター2009のインストーラを使った検証を行いたいと思います。ウイルスバスター2009のインストーラをダウンロードし、「move_vmw.exe」というファイル名に変更いたします。このポイントは、拡張子「.exe」の前に「vmw」としていることです。RLOを利用してファイル名を変更するため、ファイルを選択状態にし「F2」ボタンを押してください。override」を選択してください。ファイル名が「move_exe.wmv」と変換されます。Video(WMV)形式のファイルと見間違えてしまいます。注目すべきポイントはもう1点あります。ファイルのアイコンとして、元のアイコンが使われているということです。見た目上は拡張子が変換されているように見えますが、システム上は「.exe」として認識しているため、このようなことが起きます。Playerが実行されるわけではありません)。ダブルクリックで実行してしまうこのように、RLOを利用すれば、いとも簡単にファイルの拡張子を偽装することができてしまうのです。「9件しかない」ではなく「1件以上ある」ことに注目すべきRLOによる拡張子偽装についてポイントを整理すると、次の3つの要素に集約することができます。実行形式(EXE形式)のファイルを、ほかの拡張子として偽ることができてしまうアイコンを偽装しておくことで、拡張子偽装の効果を最大化することができるWindowsの標準機能としてRLOを利用することができる冒頭でもお話しましたが、この手法は目新しい手法ではなく、数年前にも話題となった手法です。この手法を悪用したウイルスがあとを絶ちません。このRLOによる拡張子偽装とアイコン偽装の2つの手法を組み合わせる手口は、ウイルスの常とう手段となっています。注意深くエクスプローラ上で表示されるファイルの「種類」やファイル名に残されるわずかな違和感を察知しない限り、日常の中で気付くことは困難でしょう。実際に、弊社のハニーポットで収集された不正プログラムから、ランダムに100個を抽出してみたところ、9個の不正プログラムがこのRLOの手法を用いた拡張子偽装が施されていました。私がこのデータから伝えたいことは、「9」という数の大小ではなく、不正プログラムがユーザーを欺く手法として、RLOによる拡張子偽装を利用しているという事実です。ウイルス対策レベルを向上させるということは、ウイルス感染の可能性を削っていく、地道な作業といえます。ウイルス感染のリスクが残っている場合には、そこを削り落とし、感染というリスクを排除していくことが重要なのです。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。