WO2004075060A1

WO2004075060A1 - コンピュータウィルス検出装置

Info

Publication number: WO2004075060A1
Application number: PCT/JP2004/001663
Authority: WO
Inventors: Koji Tabei
Original assignee: Tabei, Hikaru
Priority date: 2003-02-21
Filing date: 2004-02-16
Publication date: 2004-09-02
Also published as: JPWO2004075060A1

Abstract

本発明は、悪意のあるプログラムやコンピュータウィルスが実行されることによるデータ改ざん、情報漏洩などのリスクからコンピュータを保護することに関する。コンピュータウィルスなどの検出技術としては、従来、パターンマッチングを用いる技術が主流である。一方、本発明においては、アプリケーションプログラムの実行中の振る舞いをチェックすることにより、コンピュータウィルスなど、悪意のあるプログラムの検出を行なう。すなわち、コンピュータ上で新規に生成されたプロセスや実行中のプロセスにアタッチを行ない、ブレークポイントを設定し、コンピュータに重要な変更を加えることができるシステムコールの呼び出しを監視することにより、監視対象プロセスの振る舞いと、過去のコンピュータウィルスの特徴的な振る舞いを比較する。

Description

明細書コンピュータウィルス検出装置技術分野

この発明は、電子メール、 WE B、ピア ' ツー ' ピアのファイル交換ソフトウェア等により、インターネットなどコンピュータの外部から導入されるなどして実行可能となったプログラムの実行をモニタリングして、コンピュータウィルスの振る舞い、若しくは、コンピュータウィルスに類似した振る舞いを検出し、プログラムの実行停止等の対応をすることに関する。背景技術

現在、コンピュータウィルス（以下、単に「ウィルス」という場合がある。）の検出技術は、パターンマッチングを用いるものが主流である。この技術は、例えば、特開 2 0 0 3 — 2 1 6 4 4 4、特開 2 0 0 2 — 1 9 6 9 4 2、 WO 0 2 / 0 8 6 7 1 7 A 1 などにより開示されている。パターンマッチングは、コンピュータのメモリや、ハードディスク上のファイルに着目し、過去に発見されたウィルスの特徴的なシグネチャと比較してウィルスを検出する。パターンマッチングは誤検出が少ない技術であるが、既知のウィルスしか検出できない。

現在、一日に、約 1 0〜 2 0種類の新しいウィルスが見つかつている。一般ユーザが使用するコンピュータが、そのような新しいウィルスを検出し、対処することができるようにするためには、頻繁にァップデートされるウィルス · シグネチヤ · ファイルを速やかにアンチウィルス会社から入手して、コンピュータにインスト一ルしなければいけない。ところで、新しいウィルスは、過去のウィルスをほんの少し変えたものが多い。このため、実際のウィルスの振る舞いは、どれも非常に似ているという特徴がある。それにもかかわらず、ウィルスのプログラムという情報としてのパターンは異なるので、ウィルスが発見されるごとに、ウイルス . シグネチヤ . ファイルをインストールする必要がある。

ウィルスの検出技術には、パターンマッチングの他に、ヒユーリステイツクスキャンがある。ヒューリスティックスキャンは、擬似的にコードを実行し、ウィルスに似た挙動をしないかを、エミユレーシヨンに基づいて判断を行なう。しかし、実行ファイルのインストラクシヨンを全てエミユレーシヨンできるとは限らない。また、プログラムサイズが大きく、又は/及び、複雑に暗号化されたウィルスのエミユレ一シヨンには、非常に時間がかかる。発明の開示

本発明では、コンピュータ上で、新規にプロセスを生成するか、または実行中のプロセスにアタッチ（A t t a c h ) して、プロセスを監視対象とし、コンピュータに重要な変更を加えることができるシステムコールなどの呼び出しを監視することで、振る舞いを監視する。そして、監視対象であるプロセスの振る舞いと、過去のコンピュータウィルスの特徴的な振る舞いと、を比較する。ウィルスの特徴的な振る舞いが検出されると、監視対象であるプロセスを中止できるように、ユーザに通知などをする。ここで、監視対象プロセスは、主に、インターネットに接続するプロセスを指す。

図 1 は、コンピュータでのプロセスの実行を概念的に説明する図である。上位の層にアプリケーション 1 0 1 、 1 0 2、電子メ ^ ~ルソフトゥエア 1 0 3 、 W E Bブラウザ 1 0 4が動作する。このうち、アプリケーシヨン 1 0 2 、電子メールソフトウェア 1 0 3、 W E Bブラ.ゥザ 1 0 4 が、インタ一ネットに接続などして、コンピュータの外部からプロダラムを導入するプログラムを実行するプロセスであるとする。本発明では、それらのプロセスと、システムコール A P I 層 1 0 5 と、の間に、本発明によるセキュリティ層を設ける。このセキュリティ層は、システムコールの呼び出しを監視する層である。

システムコール A P I 層 1 0 5 の下には、オペレーティングシステム (以下では、「 O S」と略記する場合がある。）を実現するカーネル層 1 0 6があり、その下層に、デパイスドライバ/ハードウェア 1 0 7 の層がある。

通常のコンピュータにおける o S においては、カーネルモードと、ュ一ザモードと、に分かれて処理が行なわれる。システムコール A P I 層 1 0 5 より上の部分 1 0 8 は、ユーザモードで処理が行なわれる部分であり、システムコール A P I 層 1 0 5 より下の部分 1 0 9 は、カーネルモドで処理が行なわれる部分である。

ユーザモードで実行するプロセスは、個別のコンテキストと、仮想ァドレス空間を持っている。そのため、同じユーザモードで実行するプロセス同士が、他のプロセスのメモリをアクセスできないようになっている。

本発明は、アプリケーションプログラムの実行に際して設定するべきブレークポイントの位置と、そのアプリケーションプログラムの実行がそのプレークポイントに到達したときに、そのアプリケーションプログラムのスタックの内容に基づいて、そのアプリケーションプログラムがコンピュータウィルス性を有するかどうかを判断する判断プログラムとを関違付けて保持し、アプリケーションプログラムにブレークポイントを設定し、アプリケーションプログラムの実行がブレークポイントに到達した時には、そのブレークポイントの位置と関連付けて保持された判断プログラムを実行するコンピュータウィルス検出装置を提供する。また、コンピュータウィルス検出装置は、アプリケーションプログラムを保持し、保持されたアプリケーションプログラムを実行するときに、ブレークポイントをアプリケーションプログラムに設定するようになつていてもよい。

また、ブレークポイントの位置は、システムコール A P I 関数に基づいて定められていてもよい。このようにすることにより、図 1 のセキュリティ層が実現される。

また、アプリケーションプログラムの実行が、プレークポイントに到達したときには、システムコール A P I 関数の引数を検査してもよい。

さらに、システムコール A P I 関数が、システムリソースを変更するものである場合には、システムコールの実行の前に、コンピュータウイルス検出装置がシステムリソースの複製が生成されるようになっていてもよい。

また、コンピュータウィルス検出装置は、アプリケーションプログラムがコンピュータウィルス性を有すると判断された際には、システムコール A P I 関数の実行を阻止するようになつていてもよい。

また、システムコール A P I 関数が通信を行なうものである場合には、コンピュータウィルス検出装置は、その通信を失敗させるよう外部の通信機器（例えば、ルータ）に命令を出力するようになっていてもよい。また、アプリケーションプログラムがコンピュータウィルス性を有するかどうかは、アプリケーションプログラムが到達したブレークポイントの履歴に基づいて判断されるようになつていてもよい。

また、本発明において、アプリケーションプログラムは、 J a V a (登録商標）などの言語で記述されたプログラムを実行するためのパーチヤルマシンであってもよい。また、そのバーチャルマシンは、携帯電話で動作するものであってもよい。

W I N D OW S (登録商標）を含めた O S においては、プロセスの振る舞いをコントロールする方法として、カーネルドライバを書き、システムコールをフックする方法がある（例えば、コンピュータァソシエイッ社の e T r u s t A c c e s s C o n t r o l " S o f t h o o k "で用いられている方法）。一方、本発明によるプロセスの振る舞いの監視は、デバッガというソフトウエア開発で使われる機能を使用して行なわれる。

本発明における振る舞いの監視は、全てユーザモード、つまりアプリケーシヨン層で行なわれるという特徴を有する。これにより、カーネルドライバを用いる場合にしばしば引き起こされるシステムダウンなどの致命的なエラ一の発生が無い。

以下では、本発明の理解を助けるために、従来におけるデバッガの機能について概説を行なう。 .

図 2は、アプリケーションプログラムを実行するプロセス 2 0 1 と、デバッガ 2 0 2 と、の関係を例示する。（ 1 ) まず、デバッガ 2 0 2 が、プロセス 2 0 1 にアタッチする。アタッチにより、プロセス 2 0 1 とデパッガ 2 0 2 との関係が O Sにより管理されるようになる。すなわち、 O Sは、デバッガ 2 0 2 にプロセス 2 0 1 を関連付け、例えば、プロセス 2 0 1 の状態に変化が発生すると、デバッガ 2 0 2 に通知が行なわれるようになる。（ 2 ) 次に、デバッガ 2 0 2 は、プロセス 2 0 1 にプレークポイントを設定する。「ブレークポイント」は、プロセス 2 0 1 のプログラムカウンタが所定の値になった場合に、 C P Uの実行を停止させるメモリアドレスを示す。そのようなメモリアドレスを指定することを、ブレークポイントの設定という。ブレークポイントの設定を行なう方法としては、ブレークポイントが示すメモリアドレス値を C P Uに設定したり、プレークポイントのプログラムカウンタ値が示すメモリアドレスの命令を特殊な命令に置換したりすることにより実現される（例えば、

J o n a t h a n B . R o s e n b e r g著、 n o w D e b u g g e r s W o r k、 A l g o r i t h m s , D a t a S t r u c t u r e s , a n d A r c h i t e c t u r e〃、 W i l e y C o m p u t e r P u b 1 i s h i n g 、 1 9 9 7年参照。）。その後、プロセス 2 0 1 が矣行を開始し、ブレークポイントに到達すると、（ 2 ) 実行が停止したことが O S に通知される。この通知は、プロセス 2 0 1 が行なうというよりも、プロセスの実行がブレークポイントに到達することにより C P Uに割り込みが発生し、その割り込みを処理するための処理ルーチンにより行なわれる。なお、処理ルーチンは、 O Sの初期化などにより適宜設定されている。 O Sが通知を受けると、（ 4 ) デバッガ 2 0 2 に通知が行き、デバッガ 2 0 2 はプロセス 2 0 1 の実行がプレークポイントに到達したことを知る。その後、デバッガ 2 0 2の利用者の操作により、（ 5 ) プロセス 2 0 1 のデバッグの操作が行なわれる。デバッグ操作の代表的なものとしては、プロセスのスタックの内容を読み、関数や手続きが呼ばれたシーケンスを調べたり、引数や変数の値などを調べたりする。

なお、ブレークポイントはプロセスごとに設定されるもの'である。したがって、「アプリケーションプログラムを実行するプロセスにプレークポイントを設定する」という記述が正確であるが、記述が長くなるので、以降では、アプリケーションプログラムと、アプリケーションプログラムを実行するプロセスと、を同一視して、「アプリケーションプログラムにブレークポイントを設定する」などと記述する場合がある。

図 3 は、従来技術において、高級言語での関数や手続きの呼び出しがどのようにコンパイルされるかを例示する。高級言語において、符号 3 0 1 に示すような Γ f (引数 1 ，引数 2 ， …，引数 n ) ；」という関数ないし手続き（以後、「関数」と省略する。）の呼び出しが記述されているとする。これをンパイルすると、符号 3 0 2 に示すようなマシンインストラタシヨンに変換される。すなわち、 p u s h命令により引数をスタックに積み、最後に、「 c a 1 1 f 」により、 f を呼び出す。多くの C P Uでは、 c a l l f のような、関数を呼び出すマシンインストラクションの実行により、呼び出された関数の処理から戻る際にプログラムカウンタへ設定される値がスタックに積まれる。

図 4 は、関数 f のコンパイル結果を例示する。 f の呼び出しが行なわれると、まず、「 p u s h f p J というマシンインストラクションにより、 f の呼び出しの前のフレームポインタ（ f p ) の値がスタックに積まれる。「フレームポインタ」は、関数呼び出しのためのスタックの部分を示すための C P Uのレジスタである。フレームポインタは、後述するように、関数の呼び出し列（コールシーケンス）を得るために重要な役割をする。次に、「m o v e s p→ f p」によりスタックポインタ（ s p ) の値をフレームポインタ .（ f p ) にセットする。これにより、現在呼び出されている f のスタックの部分をフレームポインタ（ f p ) が指すようになる。その後、 f の処理が行なわれる。 f の呼び出しから復帰する際には、 Γ ρ ο ρ f p」により、 f の呼び出しの前のフレームポィンタ（ f p ) の値が設定され、「 r e t 」により、 f の呼び出しから復帰する。例えば、スタックに積まれているプログラムカウンタの値が、プログラムカウンタ設定される。

図 5 は、スタックに値が積まれた状態を例示する。スタック 5 0 1 の一番上の部分に積まれている値（すなわち、スタックの一番上の部分に格納されている値）が、現在実行中の関数に係るものであり、エリア 5 0 1 の部分には、引数の値が積まれている。エリア 5 0 3 には、関数呼び出し後のプログラムカウンタが積まれている。エリア 5 0 4 には、関数呼び出し前のフレームポインタ（ f p ) の値が積まれている。エリア 5 0 5 には、関数の中で定義されている自動変数の値などが格納されている。フレームポインタ（ f p ) は、エリア 5 0 4の上部を指しており、エリァ 5 0 4 に積まれている値は、前の関数呼び出しの時にスタック 5 0 1 に積まれたフレームポインタ（ f ) が格納されている位置の上を指している。したがって、フレームポインタの値をたどることにより、どのような呼び出し列を経て、関数が呼び出されたかを知ることができる。また、スタックに積まれたプログラムカウンタの値を調べることにより、関数がプログラムのどの位置から呼ばれたかを知ることができる。また、スタックに積まれた引数を調べることにより、関数にどのような値が与えられたかを知ることができる。

本発明に係るコンピュータウィルス検出装置は、このようなデバッガの機能を利用することにより、プロセスの振る舞いを監視する。ただし、従来技術におけるデバッガにおいては、人間がデパッガを操作してデパッグ対象のプロセスを調査するのに対して、本発明に係るコンピュータゥィルス検出装置によるプロセスの振る舞いの監視は、自動的に行なわれる。

また、本発明は、商用ソフトウェアにまつわる課題を解決するものである。以下、スパイウェアを例に用いて説明する。スパイウェアは、ィンターネット経由でその作成者または発信者に情報を送信するアプリケーシヨンプログラムである。スパイウェアは、パックドア ' ウィルスと似た振る舞いをする。悪質なスパイウェアは、ユーザ情報や、キーストロークを盗み、特定の通信チャネルを通して、他のマシンへ情報を送信する。しかし、アンチウィルス企業の多くは、そのポリシーとしてスパイゥエアなどの商用ソフトウエアを検出しない。ハードディスクを破棄する際に使用するデータを消去する商用ソフトウエアがあり、それが友人から電子メールとして送られてくるかも知れないからである。ユーザの意図通りにデータを消去するプログラムは、アンチウィルスでは検出しない

したがって、プログラムを実行した結果が、コンピュータや、ユーザのビジネスにインパクトを与えるものであっても、現在のアンチウィルス技術では、それらの脅威を完全に防ぐことは不可能である。

現在のウィルスは、わずかに L i n u x (登録商標）で活動するものがあるが、圧倒的に W I N D OW S (登録商標）で活動する。その一つの原因として、 W I N D OW S (登録商標）を使うほとんどの人々は、ァドミニストレータ権限をログオン · ュ一ザに加えていることが挙げられる。アドミニストレータ権限は、アプリケーションをインストールする際に必要だが、 U N I X (登録商標）のようにシステム管理者のために一時的に、 r o o t (特権ユーザ）になる習慣が W I N D OW S (登録商標）にはない。 W I N D OW S (登録商標）では、アドミニストレータのような特権ユーザのまま、メールで送られてきた不審なファイルがしばしば実行される。

ァドミニストレータ権限は、システムの全ての資源にアクセスできる。つまりはシステムが稼動するために必要な重要なファイルを改ざんできる。こういった環境で、ウィルスを実行すると、コンピュータの重要なファイルが改ざんされ、さらにはインターネットを通して、世界中のコンピュータがウィルスに感染することがある。プロダラムの実行環境は、ユーザのためにもっと適切に保護されるべきである。図面の簡単な説明

図 1 は、従来技術における、コンピュータでのプロセスの実行を概念的に説明する図である。

図 2 は、従来技術における、アプリケーションプログラムを実行するプロセスと、デバッガと、の関係を例示する。

図 3 は、従来技術において、高級言語での関数や手続きの呼び出しがどのようにコンパイルされるかを例示する。

図 4は、従来技術における関数のコンパイル結果を例示する。

図 5 は、従来技術において、スタックに値が積まれた状態を例示する。図 6 は、従来技術において、仮想プロセス空間に D L L ファイルがマッビングされた状態を例示する。

図 7は、従来技術におけるプロセスの仮想メモリ空間を示す。

図 8 は、本発明における処理のフローチヤ一トを例示する。

図 9 は、本発明の実施形態 1 に係るコンピュータウィルス検出装置の機能ブロック図を例示する。

図 1 0は、ブレークボイト情報が保持されている状態の一例を示す。図 1 1 は、アプリケーションプログラムごとにブレークポイント情報が提供されている様子を例示する。

図 1 2 は、コンピュータウィルス検出装置の処理のフローチャートを例示する。

図 1 3 は、本発明の実施形態 2 に係るコンピュータウイルス検出装置による表示画面を例示する。

図 1 4は、本発明の実施形態 2 に係るコンビユー.タウイルス検出装置め機能プロック図を例示する。

図 1 5は、コンピュータウィルス検出装置の処理のフローチャートを例示する。図 1 6 は、本発明の実施形態 3 におけるブレークポイント情報を例示する。

図 1 7は、コンピュータウィルス検出装置の処理のフローチャートを例示する。

図 1 8 は、本発明の実施形態 7 に係るコンピュータウィルス検出装置の機能プロック図を例示する。

図 1 9 は、コンピュータウィルス検出装置の処理のフローチャートを例示する。

図 2 0は、本発明の実施形態 8 の概要を例示する。

図 2 1 は、本発明の実施形態 8 に係るコンピュータウイルス検出装置の機能ブロック図を例示する。

図 2 2は、通信阻止命令の一例を示す。

図 2 3 は、コンピュータウィルス検出装置の処理のフローチャートを例示する。

図 2 4は、本発明の実施形態 8 に係る通信機器の機能ブロック図を例示する。

図 2 5 は、通信機器の処理のフローチャートである。

図 2 6 は、本発明の実施形態 9 に係るコンピュータウィルス検出装置の機能プロック図を例示する。

図 2 7は、コンピュータウィルス検出装置の処理のフロ ^"チャートを例示する。

図 2 8 は、本発明の実施形態 1 0 に係るコンピュータウィルス検出装置の使用の形態を例示する。

図 2 9 は、本発明の実施形態 1 1 に係るコンピュータウィルス検出装置の使用の形態を例示する。発明を実施するための最良の形態

以下、本発明を実施するための最良の形態について、図を用いて実施形態として説明する。なお、本発明は、これら実施形態に何ら限定されるものではなく、その要旨を逸脱しない範囲において、種々なる態様で実施し得る。

(本発明の概要）

本発明は、プログラムの振る舞いに着目し、プログラムがウィルスかどうかを判断する。本発明を具現化したプロセスと、監視対象のプロセスは、デバッガ（ D e b u g g e r ) と、デパツギ（ D e b u g g e e ) の関係に類似した関係を持つ。デバッガは、本発明を具現化したプロセスに対応し、デバツギは、監視対象のプロセスに対応する。

デバッグされるプロセスをデバツギという。本発明は、監視対象プロセスをデバツギとして実行する。実行中のプロセスを監視する場合には、実行中のプロセスにアタッチする。

本発明を具現化するプロセスは、監視対象プロセスの振る舞いをチェックするため、システムに重要な変更を加えるシステムコール（または A P I 関数）にブレークポイント（B r e a k p o i n t s ) を設定する。

ブレークポイントは、 I n t e l (登録商標） C P Uの場合には、 I n t 3のハードウェア割り込みインストラクシヨンを、プレークポイントが示すメモリアドレスに配置することにより実現できる。プロセスの実行がプレークポイントに到達すると、そのプロセスの実行は停止し、本発明に係るコンピュータウィルス検出装置が、そのプロセスのスタックの内容などを調査して、監視対象のプロセスの振る舞いと、過去のコンピュータウイルスの特徴的な振る舞いを比較する。

ウィルスの特徴的な振る舞いとしては、以下のものを挙げることがでさる。

• 自分自身をシステムフォルダに； ^ピーする。

• ネットワークで共有されたディレクトリを採す。そして、自分自身をコピーする。

' メールのアドレス帳にアクセスし、ウィルスを添付したメールを大量に送信する。

• ファイル交換ソフトウェアがインストールされていれば、それを使って自分自身をばらまく。

* 重要なシステムファイルを消す。または改ざんする。

' 再起動しても、自分自身が実行されるように、システムを変更する。

本発明は、監視対象プロセスの A P I 呼び出しを過去のコンピュータウィルスの振る舞いなどと比較し、監視対象プロセスの停止や、ユーザへの警告を発する。

以下、 W I N D OW S (登録商標）を例に具体的に述べる。 W I N D O W S (登録商標）では、ファイルやディレクトリを操作する A P I は、 K E R N E L 3 2. D L L というファイルに含まれている。レジストリに関違する A P I は、 AD VA P I 3 2. D L Lに含まれている。ネットワークの共有ドライブを操作する A P I は、 MP R . D L Lに含まれている。以下、これらを D L Lファイルと呼ぶ。

監視対象のプ口セスがどの A P I を呼び出そうとしているか判断する方法を以下に述べる。監視対象プロセスが実行を開始するときに、 D L Lファイルは、仮想プロセス空間にマッピングされる。

図 6 は、仮想プロセス空間 6 0 1 に、 K e r n e 1 3 2. D 1 1 、 M R P . D 1 1 、 A d V a p i 3 2. D 1 1 がマッピングされた状態を例示する。このようにマッピングが行なわれることにより、監視対象プロセスは、例えば、 A d v a p i 3 2. D 1 1 で定義されている R e g C r e a t e K e y E x などの関数を呼び出すことができる。

図 7 は、プロセスの仮想メモリ空間を示す。仮想メモリ空間 7 0 0 は、メモリアドレスの小さい方力ら、インストラクションの部分 7 0 1 、ヒープの部分 7 0 2、 D L Lファイルがマッピングされる部分 7 0 3 、スタックの部分 7 0 4を有する。部分 7 0 3は、ヒープの部分 7 0 2 とスタックの部分 7 0 4 との間に位置し、 D L Lファイルがマッピングされる。すなわち、部分 7 0 3 のメモリアドレスに対して参照を行なうと、ファイルとして格納されている D L Lファイルの内容が得られる。

D L Lファイルのマップアドレス（D L Lファイルが仮想メモリ空間へマッピングされた部分の最初のアドレス）は、イメージベースと呼ばれ、各 D L Lでユニークに、他と重複しないよう決められている。

例えば、レジストリを操作する R e g O p e n K e y E x Aという A P I は、 AD VA P I 3 2. D L Lに含まれている。

R e g O p e n K e y E x Aのアドレスを、「 AD V A P I 3 2 . D L

Lのイメージべース」 + 「 R e g O p e n K e y E x Aの R V A」により求める。なお、「 R V A」とは、 R e l a t i v e V i r t u a l A d d r e s s の略である。すなわち、 D L Lフアイノレの中に、 A P I の定義が現れる相対的な位置である。

アドレスが求められたら、デバッガ用 A P I などを使用してブレークポイントを設定する。

監視対象プロセスの実行が、ブレークポイントにヒットしたら、 A P I の引数などを解析する。

監視対象プロセスが、レジストリゃシステムファイルに変更を加える A P I を呼び出した合、このステップで、バックアップを作成する。ウィルスの特徴を検出したらプロセスの停止、またはユーザにレポ一トする。検出しなければ処理を続ける。

具体例を説明する。多くの W I ND OW S (登録商標）ウィルスは実行すると再起動時に、システムに常駐するために、以下のレジストリへ値を追加する。

H K E Y_L O C A L_MA C H I N E ¥ S O F TWA R E ¥M I

C R O S O F T ¥W i n d o w s ¥ C u r r e n t V e r s i o n ¥ R u n

参考として、このキーに値を追加するメジャーなウィルスを以下に挙げる。

N I MD A, L O V E L A T T E R , T R O J _M A T R I X , W

3 2一 MAG I S T R , T R O J _HY B R I S，WO RM一 K L E Z， WO RM_B U G B E A R , W O R M一 B A D T R A N S , J S _ E X C E P T I O N, WO RM—L I R B A

メールで受け取った不明なプログラムがシステムに常駐する必要はないと考えられる。

上記レジストリを追加するには、次の 2ステップの A P I 呼び出しが必要である。

R e g C r e a t e K e y E x A ··· R u nの下に新しいキーを作る。

R e g S e t V a l u e E x A … 値をセットする。

上の 2つの A P I は、 AD VA P I 3 2. D L Lに含まれている。ここでは、 AD V A P I 3 2. D L Lのイメージベースが 0 x 7 7 D 8 〇 0 0 0 であるとする'。数字の 0 Xは、 1 6進数であることを示す。また、 R e g C r e a t e K e y E x Aの R V Aが 0 x 2 9 4 2 7、 R e g S e t V a l u e E x Aの R VAが 0 x 2 C 5 8 Dであるとする。

R e g C r e a t e K e y E x Aのアドレスは、 0 x 7 7 D 8 0 0 0 0 + 0 x 2 9 4 2 7 = 0 x 7 D A 9 4 2 7 R e g S e t V a 1 u e E x Aのアドレスは、

O x 7 7 D 8 0 0 0 0 + O x 2 C 5 8 D = O x 7 7 D A C 5 8 D で求められる。これらは仮想ァドレス空聞であるから同時に複数のプロセスが実行されていても、同じ仮想ァドレスで D L Lファイルがマップされる。

ァドレスを求めたら、それらへプレークポイントを設定する。

もし、監視対象のプロセスが、 W I N D OW S (登録商標）起動時に自動実行するプログラムであれば、 R _e g C r e a t e K e y E x Aのブレークポイントがヒットする。次にスタックを解析する。 C言語などのコンパイラでは、スタックを介して引数が受け渡されるようなマシンインストラクシヨンが生成されるためである。

8 0 0 0 0 0 0 2 0 0 4 1 f 0 2 8 AD V A P I 3 2 ! R e g C r e a t e K e y E x A

例えば、上記の数値が得られたとする。 R e g C r e a t e K e y E x Aを呼ぶ際には、 2番目の引数はレジストリの位置である。この例では、メモリアドレス 4 1 f 0 2 8ヘレジストリの位置が入っている。そこで、メモリアドレス 4 I f 0 2 8 をチェックする。

> 4 1 f 0 2 8

4 1 f 0 2 8 S O F TWAR E ¥M i c r o s o

4 1 f 0 3 8 f t ¥W i n d o w s ¥ C u r r e

4 1 f 0 4 8 n t V e r s i o n ¥ R u n ¥V i

4 1 f 0 5 8 u s

A P I と引数から監視プロセスは、 R u nの下に V i r s というキーを作ろうとしていることが分かる。

プログラム実行前の状態に復帰する場合には、 V i r u s キーを削除すればよい。そこで、システムコールの実行の前にレジストリなどのシステムリソースの変更の履歴や、システムリソースの複製、などを保持するようにしてもよい。

同様に、プログラムの振る舞いを把握するために必要な A P I をチェックし、その呼び出しの傾向を解析する。

呼び出しを監視する A P I と、引数の対応（以下これを検出ルールと呼ぶ）は、ハードコーディングではなく、検出ルールを記したファイルを外部、例えばインターネットから読み込むことで追加、変更できることが望ましい。

この方法では、ファイルをスキャンするオーバーへッドは、一切無い。ゥィルスの特徴的な振る舞いを検出したら、監視対象のプロセスをユーザの意思により、中止させられるように、ダイアログボックス等を表示するのが好適である。

または、プログラムを中止せずに、続けて実行する。フローチャートを図 8 に例示する。

(実施形態 1 )

本発明の実施形態 1 として、ブレークポイント位置情報と、アプリケーションプログラムがそのプレークポイント位置情報で示すブレークポイントに到達した場合に実行する判断プログラムと、を関連付けて保持し、ブレークポイントをアプリケーションプログラムに設定して、判断プログラムを実行するコンピュータウィルス検出装置について説明する ,

(実施形態 1 ：構成）

図 9 は、本実施形態に係るコンピュータウィルス検出装置の機能プロック図を例示する。コンピュータウィルス検出装置 9 0 0 は、ブレークポイント情報保持部 9 0 1 と、ブレークポイント設定部 9 0 2 と、判断プログラム実行部 9 0 3 と、を有する。なお、以下の説明から明らかになるように、これらの部を有するコンピュータウィルス検出装置は、コンピュータで動作するプログラムとして実現が可能である。したがって、図 9 は、そのようなプログラムのモジュール構成を示す図であると解釈することもできる。すなわち、そのようなプログラムは、ブレークポイント情報保持部をプログラムにより実現するブレークポイント情報保持ステップと、ブレークポイント設定部をプログラムにより実現するブレークポイント設定ステップと、判断プログラム実行部をプログラムにより実現する判断プログラム実行ステップと、をコンピュータに実行させるためのプログラムである。

「ブレークポイント情報保持部」 9 0 1 は、ブレークポイント情報を保持する。例えば、ハードディスクや半導体メモリなどに、プレークポイント情報を保持する。「ブレークポイント情報」とは、ブレークポイント位置情報と、判断プログラムと、を含む情報である。「含む」とあるので、ブレークポイント情報の成分は、ブレークポイント位置情報と判断プログラムとに限られない場合がある。

'「ブレークポイント位置情報」とは、アプリケーションプログラムの実行に際して設定するべきブレークポイントの位置を示す情報である。ブレークポイントの位置は、例えば、アプリケーションプログラムのメモリアドレスによって示される。また、アプリケーションプログラムが呼び出す関数、手続き、メソッド（以下、「関数など」という。）の名前によつても示される場合がある。

「判断プログラム」とは、そのアプリケーションプログラムの実行が前記ブレークポイントに到達したときに、そのアプリケーションプログラムの実行で参照されるスタックの内容に基づいて、そのアプリケーションプログラムがコンビユ^ "タウィルス性を有するかどうかの判断を行なうためのプログラムである。「そのアプリケーションプログラム」とは. 後で説明されるブレークポイント設定部 9 0 2 によりブレークポイント位置情報で示される位置にブレークポイントが設定されるアプリケーシヨンプログラムを意味する。「前記プレークポイント」とは、プレークポイント位置情報が示す位置に設定されたブレークポイントを意味する。

「アプリケーションプログラムがコンピュータウィルス性を有する」場合とは、アプリケーションプログラム自身がコンピュータウィルスである場合のみならず、アプリケーションプログラムがコンピュータウイルスに感染した場合、アプリケーションプログラムのパグゃセキユリティホールなどが利用されて設計時には想定されていなかった動作をする場合、などを含む。例えば、ウェブサーバプログラムのバグを利用して、悪意を持った人間が、通常の操作では得ることができないファイルの内容を得るなどの動作をする場合である。

そのアプリケーションプログラムの実行で参照されるスタックの内容に基づいて、そのアプリケーションプログラムがコンピュータウィルス性を有するかどうかの判断を行なう方法としては、種々のものがある。例えば、そのアプリケーションプログラムの実行で参照されるスタックを、スタックの上部からフレームポインタをたどってスタックの下部までたどることができるかどうかを判断する。コンピュータウィルスの中には、スタックの内容を破壊することにより、アプリケーションプログラムが正常に動作する'ならば呼び出さない態様でシステムコ一ルなどを呼び出す。そこで、スタックの内容が破壊されていないかどうかを判断する。その判断の一つとして、フレームポインタをたどり、プログラムの実行において最初に呼ばれる関数など（例えば、 — s t a r t u p という名前の関数など）の呼び出しまでたどることができるかどうカ^こより、アプリケーションプログラムがコンピュータウィルス性を有するかどうかの判断を行なう。また、アプリケーションプログラムが、ブレークポイントに到達した際、どのような関数などの呼び出し系列を経て到達したかを調べることで、コンピュータウィルス性を有するかどうかの判断を行なってもよい。もし、想定されない関数などの呼び出しの系列の後にブレークポイントに到達している場合には、コンピュータウィルス性を有することが疑われ.る。 '

また、ブレークボイントが設定された関数などの引数を調べることにより、アプリケーションプログラムがコンピュータウィルス性を有するかどうかを判断してもよい。例えば、電子メールを用いて他のコンビュータに自らを感染させるコンピュータウィルスは、電子メールアドレスを取得するために電子メールアドレスのァドレス帳をアクセスする。そこで、ァドレス帳へのアクセスを行なうための引数が指定されているかどうかに基づいて、判断を行なうようになっていてもよい。

なお、多くの場合、コンピュータウィルス検出装置を実現するプログラムを実行するプロセスと、アプリケーションプログラムを実行するプ口セスとは、異なるプロセスであり、通常は、コンピュータウィルス検出装置を実現するプログラムが、アプリケーションプログラムを実行するプロセスのメモリ空間の內容、特にスタックの內容を読むことはできない。しかし、オペレーティングシステムは、特定の関係にあるプロセス間であれば、あるプロセスが他のプロセスのメモリ空間やレジスタの内容を読んだり、変更したりすることを許可する機能を有しているのが通常である。ここでいう「特定の関係」の例としては、親子関係や、同じユーザが実行しているプロセスであり、他のプロセスに対して所定のシステムコール（例えば、 _a t t a c hなど）を実行したという関係、などがある。したがって、コンピュータウィルス検出装置をプログラムにより実現する場合には、そのプログラムを実行するプロセスと、アブリケーシヨンプログラムを実行するプロセスと、は特定の関係になつている必要がある。

なお、ほとんどのオペレーティングシステムでは、他のプロセスのメモリ空間やレジスタの内容を読んだり、変更したりするためのシステムコールが提供されている。あるいは、 Z d e V / r o c というスぺシャルデバイスを用いて、他のプロセスのメモリ空間やレジスタの內容を読んだり、変更したりすることができるようになつている場合もある。判断プログラムは、例えば、インタープリタによって実行されるものであってもよい。例えば、判断プログラムが L i s p 、 P e r 1 、 R u b yなどの言語により記述されていてもよい。また、判断プログラムは、コンピュータが直接実行できるマシンィンストラクションの列からなつていてもよい。この場合には、コンピュータウィルス検出装置を実現するプログラムの一部として、判断プログラムが組み込まれていてもよい。あるいは、判断プログラムが、例えば、動的ライプヲリなどとして、動的にコンピュータウィルス検出装置を実現するプログラムにロードされるようになっていてもよい。なお、判断プログラムが、インタープリタで実行されるものであったり、動的にロードされるものであったりする場合には、判断プログラムを差し替えることが容易に行なえる。

図 1 0は、ブレークポイント情報がブレークポイント情報保持部 9 0 1 により保持されている状態の一例を示す。図 1 0 ( a ) においては、ブレークポイント情報がテーブルに保持されている。列 1 0 0 1 には、ブレークポイント位置情報が格納され、列 1 0 0 2 には、判断プロダラムが格納される。図 1 0 ( b ) は、判断プログラムへのポインタがテープルに格納されている状態の一例を示す。そのポインタは、コンビユータウィルス検出装置を実現するプログラムを実行するプロセスのメモリ空間内部における特定の場所を指す。図 1 1 は、アプリケシヨンプログラムごとにブレークポイント情報が提供されている様子を例示する。ブレークポイント情報保持部 9 0 1 は、このように、アプリケーションプログラムごとにブレ^"クポイント情報を保持していてもよい。

「ブレークポイント設定部」 9 0 2 は、アプリケーションプログラムに、ブレークポイント情報保持部 9 0 1 で保持されたブレークポイント情報に基づいて、ブレ^ "クポイント情報を設定する。すなわち、ブレークポィント情報に含まれるブレークボイント位置情報が示す位置にブレークポイントを設定する。この設定は、オペレーティングシステムが提供するシステムコールやスペシャルデパイスを用いて行なう。「基づいて」とは、例えば、ブレークポイント位置情報が関数などの名前を用いて表現されている場合には、関数などの名前から、その関数などのアドレスを得ることを意味する。関数などの名前と、そのアドレスと、の対応付けは、アプリケーションプログラムのシンボルテーブルを読むことなどによって得ることができる。

「判断プログラム実行部」 9 0 3 は、前記ァプリケーションプロダラムの実行が、ブレークポイント設定部 9 0 2で設定されたプレークポィントに到達したとき、前記ブレークポイント情報に含まれる判断プログラムを実行する。「前記アプリケーションプログラム」とは、ブレークポイント設定部 9 0 2 によりブレークポイントが設定されたアプリケーシヨンプログラムである。コンピュータウィルス検出装置は、ブレークポイントが設定されたアプリケーションプログラムの実行がブレークポィントに到達するまで待つことを行なう。このためには、例えば、 w a i t システムコールが呼び出される。アプリケーションプログラムの実行がブレークポイントに到達すると、（ 1 ) w a i t システムコールからコンピュータウィルス検出装置の処理が再開し、（ 2 )どのブレークポイントに到達したかを判断し、（ 3 ) 判断プログラム実行部 9 0 3 に、判断プログラムを実行させる。アプリケーションプログラムがどのブレークポイントに到達したかを判断するには、アプリケーションプログラムを実行するプロセスのレジスタに保持されているプログラムカウンタの値を取得するごとにより判断する。

(実施形態 1 ：処理）

図 1 2は、コンピュータウィルス検出装置の処理のフローチャートを例示する。

ステップ S 1 2 0 1 において、ブレークポイント位置情報が示す位置に、ブレークポイントを、アプリケーションプログラムに設定する。例えば、この処理はプレークポイント設定部 9 0 2 により行なわれる。ステップ S 1 2 0 2において、アプリケーションプログラムの実行が、ブレークポイントに到達するまで待つ。この処理は、例えば、 w a i t システムコールを実行することにより、実現される。

ステップ S 1 2 0 3 において、アプリケーションプログラムの実行が到達したブレークポイントに対応する判断プログラムを実行する。例えば、この処理は判断プログラム実行部 9 0 3により行なう _ώ

ステップ S 1 2 0 4において、処理を終了するかどうかを判断する。例えば、ステップ S 1 2 0 3 における判断プログラムの実行により、ァプリケーシヨンプログラムがコンピュータウィルス性を有すると判断された場合には、処理を終了する。もし、処理を終了しないと判断された場合には、ステップ S 1 2 0 5へ処理を移行する。

ステップ S 1 2 0 5 において、アプリケーションプログラムの実行を続ける。アプリケーションプログラムがブレークポイントに到達すると、アプリケーションプログラムの実行が停止するので、停止したところから処理を再開させる。例えば、アプリケーションプログラムを実行するプロセスにシグナル（例えば、 S I G _ C O N T ) を送る。その後、ステツプ S 1 2 0 2へ処理を移行する。

なお、コンピュータウィルス検出装置は、ブレークポイント情報保持ステップと、ブレークポイント設定ステップと、判断プログラム実行ステツプと、を含むコンピュータウィルス検出方法を使用するための装置と考えることができる。「ブレークポイント情報保持ステップ」は、ブレークポイント情報を保持するステップであり、 Γブレークポイント設定ステップ J は、アプリケーションプログラムに、ブレークポイント情報保持ステップで保持されたブレークポイント情報に基づいて、ブレークポイントを設定するステップであり、「判断プログラム実行ステップ」とは、アプリケーションプログラムの実行が、ブレークポイント設定ステップで設定されたブレークポイントに到達したとき、ブレークポイント，情報に含まれる判断プログラムを実行するステップである。すなわち、ブレークポイント情報保持ステップは、ブレークポイント情報保持部を動作するステップであり、ブレークポイント設定ステップは、ブレークポイント設定部を動作するステップであり、判断プログラム実行ステップは判断プログラム実行部を実行するステップである。なお、本発明に係るコンピュータウィルス検出方法の使用は、本発明に係るコンビユータウィルス検出装置に限定されることはない。

(実施形態 1 ：主な効果）

本実施形態により、オペレーティングシステムのカーネル内部に修正を加えることなく、アプリケーションプログラムを実行するプロセスの振る舞いを、コンピュータウィルス検出装置により監視することができるので、システムダウンの発生を回避することが可能となる。また、コンピュータウィルスの振る舞いは非常に似ている場合が多いので、従来のアンチウィルスソフトウエアにおいて必要であった、パターンフアイルを最新のものに更新し続けることの必要性が低くなったり、パターンファイルの更新が不要となったりする。

(実施形態 2 )

本発明の実施形態 2 として、アプリケーションプログラムを保持するコンピュータウィルス検出装置を説明する。

図 1 3 は、本実施形態に係るコンピュータウィルス検出装置による表示画面を例示する。ウィンドウ 1 3 0 1 は、本実施形態に係るコンビュータウィルス検出装置が表示するウィンドウである。そのウィンドウのサブウィンドウ 1 3 0 2 に、アプリケーションプログラムのアイコンが表示されている。必要に応じて、ウィンドウ 1 3 0 1 の外に表示されているアイコン（例えば、アイコン 1 3 0 4 ) をドラッグして、サブウインドウ 1 3 0 2の内部に移動させることができる。サブウィンドウ 1 3 0 2 の内部に表示されたアイコン（例えば、アイコン 1 3 0 3 ) をダブルクリックなどすることにより、アプリケーションプログラムを実行するプロセスが、コンピュータウィルス検出装置を実行するプロセスの子プロセスとして生成され、その振る舞いが監視される。

(実施形態 2 ：構成）

図 1 4は、本実施形態に係るコンピュータウィルス検出装置の機能ブロック図を例示する。コンピュータウィルス検出装置 1 4 0 0 は、プレ —クポイント情報保持部 9 0 1 と、ブレークポイント設定部 9 0 2 と、判断プログラム実行部 9 0 3 と、アプリケーションプログラム保持部 1 4 0 1 と、プログラム実行開始部 1 4 0 2 と、ブレークポイント設定命令部 1 4 0 3 と、を有する。

したがって、本実施形態に係るコンピュータウィルス検出装置は、実施形態 1 に係るコンピュータウィルス検出装置が、さらに、アプリケーションプログラム保持部 1 4 0 1 と、プログラム実行開始部 1 4 0 2 と、ブレークポイント設定命令部 1 4 0 3 と、を有する構成となっている。なお、本明細書においては、同じ定義が適用される部には、できるだけ同じ符号を割り当てることにする。なお、同じ符号が割り当てられていることは、実際の製造などにおいて、同一の構成などになることを意味するものではない。

「アプリケーションプログラム保持部」 1 4 0 1 は、アプリケーションプログラムを保持する。保持には、 ¾々の形態がある。例えば、ァプリケーシヨンプログラム全体を格納する形態がある。また、アプリケーションプログラムが格納されている場所、例えばファイルシステムにおけるパスなどで表現される、を格納する形態もあり得る。

「プログラム実行開始部」 1 4 0 2 は、アプリケーションプログラム保持部 1 4 0 1 で保持されたアプリケーションプログラムの実行を開始する。例えば、コンピュータウィルス検出装置を実現するプログラムを実行するプロセスの子プロセスとして、アプリケーションプログラムの実行を開始する。

「ブレークポイント設定命令部」 1 4 0 3 は、プログラム実行開始部 1 4 0 2 で実行が開始されるアプリケーションプログラムに対して、ブレークポイント設定部 9 0 2 に、プ„レークポイントの設定を命令する。例えば、ブレークポイント設定部 9 0 2 を実現する関数などの呼び出しを行なう。

(実施形態 2 ：処理）

図 1 5 は、本実施形態に係るコンピュータウィルス検出装置の処理のフローチヤ一トを例示する。

ステップ S 1 5 0 1 において、アプリケーションプログラムを保持する。この処理は、アプリケーションプログラム保持部 1 4 0 1 により行なわれる。例えば、図 1 3 において、アイコン 1 3 0 4をサプウィンドゥ 1 3 0 2の内部にドラッグされたことを検出し、アイコン 1 3 0 4が表わすアプリケーションプログラムを保持する。

ステップ S 1 5 0 2 において、アプリケーションプログラムが選択されるまで待つ。例えば、図 1 3 において、サプウィンドウ 1 3 0 2 の内部のアイコンがダブルクリックされるまで待つ。

ステップ S 1 5 0 3 において、ブレークポイント位置情報が示す位置に、ブレークポイントを、選択されたアプリケーションに設定することを命ずる。この処理は、ブレークポイント設定命令部 1 4 0 3により行なわれる。

ステップ S 1 5 0 4において、ブレークポイントの設定の完了を待つ。例えば、ブレークポイント設定部 9 0 2 を実現する関数などの呼び出しから戻るまで待つ。

ステップ S 1 5 0 5 において、選択されたアプリケーションプロダラムを実行する。より正確に述べると、選択されたアプリケーションプログラムを実行するためのプロセスを実行させる。ステップ S 1 5 0 5 の後は、図 1 2 のフローチャートのステップ S 1 2 0 2、ステップ S 1 2 0 3、ステップ S 1 2 0 4、ステップ S 1 2 0 5 を実行することとなる。最近のオペレーティングシステムにおいては、一つのプロセスの中で複数のスレツドを並列 / /平行に動作させることが可能となっている。そこで、ステップ S 1 2 0 2、ステップ S 1 2 0 3 、ステップ S 1 2 0 4、ステップ S 1 2 0 5 の実行は、図 1 5 のフローチャートを実行するスレッドとは別のスレツドにより行なわれてもよい。

ステップ S 1 5 0 6 により、処理を終了するかどうかを判断する。例えば、コンピュータウィルス検出装置の操作者が、終了ポタンを押したかどう力により判断する。もし、終了でなければ、ステップ S 1 5 0 2 へ戻る。 (実施形態 2 ：主な効果）

本実施形態により、振る舞いを監視するべきアプリケーションプログラムを実行するプロセスを容易に生成することが可能となる。また、コンピュータウィルスを外部から導入する虞が無いアプリケーションプログラムは、監視の対象としないようにすることができるので、ブレークポイントの設定により、そのようなアプリケーションプログラムを実行するスピードを低下させることがない。

(実施形態 3 )

本発明の実施形態 3 として、システムコール A P I 関数にブレークポイントを設定し、プロセスの振る舞いを監視するコンピュータウィルス検出装置について説明する。

(実施形態 3 ：構成）

本実施形態に係るコンピュータウイルス検出装置は、実施形態 1 又は 2のコンピュータウィルス検出装置のブレークポイント情報保持部 9 0 1 が保持するブレークポイント情報を、アプリケーションプログラムのシステムコール A P I 関数に基づいて定められるようにしたものである, 「システムコール A P I 関数」とは、システムコールを呼び出すためのライブラリ関数などを意味する。そのようなライブラリ関数などは、通常は、システムコールに対する引数をスタックに積み、トラップ命令を実行するようになっている。トラップ命令の実行により、オペレーテイングシステムにより C P Uに設定された割り込みルーチンが起動され. オペレーティングシステム内部の処理が開始される。スタックに引数を積み、トラップ命令を実行する処理を、直接に高級言語で表現することは困難であるので、そのような処理を行なうライブラリ関数などが用意されている。

図 1 6 は、本実施形態におけるブレークポイント情報を例示する。図 1 6 において、 R e g C r e a t e K e y E x Aがシステムコ一ノレ A P I 関数の名前となっている。したがって、ブレークポイント設定部がプレークポイントを設定する場合には、システムコール A P I 関数の名前をアドレスに変換する必要がある。その変換の処理については、概要の項で説明した通りである。

(実施形態 3 ：主な効果）

コンピュータウィルスは、システムコール A P I 関数を用いて、自身をコンピュータに感染させることが多いので、システムコール A P I 関数の呼び出しを検出して、アプリケ一ションプログラムがコンピュータウィルス性を有するかどうかを判断することで、少ないブレークポイントの設定で的確に判断することが可能となる。

(実施形態 4 )

本発明の実施形態 4 として、システムコール A P I 関数の引数の検査に基づいて、判断を行なうコンピュータウィルス検出装置について説明する。

(実施形態 4 ：構成）

本実施形態に係るコンピュータウィルス検出装置は、実施形態 3 に係るコンピュータウィルス検出装置において、判断プログラムに、システムコール検査プログラムを含ませた構成となっている。「システムコ一ル検査プログラム」とは、そのアプリケーションプログラムが呼び出すシステムコール A P I 関数の引数の検査に基づいて、そのアプリケーシヨンプログラムがコンビユ ^ ~タウィルス性を有するかどうかの判断をするためのプログラムである。「そのアプリケーションプログラム」とは、ブレークポイント設定部 9 0 2 によりブレークポイントが設定されたァプリケーシヨンプログラムを意味する。

したがって、本実施形態においては、アプリケーションプログラムの実行がブレークポイントに到達すると、アプリケーションプログラムのシステムコール A P I 関数の引数が検査されることになる。この検査の結果に基づいて、アプリケーションプログラムがコンピュータウィルス性を有するかどうかが判断される。

なお、本実施形態において、引数が検査されるシステムコール A P I 関数は、ブレ一クポイントが設定されたものに限定はされない。例えば、アプリケーションプログラムのマシンインストラクションを全て調べて全てのシステムコール A P I 関数の引数が検査されるようになつていてもよい。また、到達したプレークポイントでのシステムコ ^ "ル A P I 関数の引数を記憶しておき、後にブレークポイントに到達したときに、記憶されたシステムコール A P I 関数に引数を検査するようになつていてもよい。

(実施形態 4 ：主な効果）

本実施形態では、システムコール A P I 関数の引数の検査に基づいて、コンピュータウィルス性が判断されるので、より的確に判断を行なうことが可能となる。

(実施形態 5 )

本発明の実施形態 5 として、到達したブレークポイントにおけるシステムコール A P I 関数の引数を検査するコンピュータウィルス検出装置について説明する。

(実施形態 5 ：構成）

本実施形態に係るコンピュータウイルス検出装置は、実施形態 4 に係るコンピュータウィルス検出装置において、システムコール検查プログラムによって検査される引数を、ブレークポイント情報保持部 9 0 1 が保持するブレークポイント位置情報で定められるシステムコール A P I 関数の引数としたものである。例えば、図 1 6 に例示されるように、 R e g C r e a t e K e y E x Aというシステムコール A P I 関数に.ブレークポイントが設定され、ァプリケーションプログラムの実行がそのブレークポイントに到達した場合には、システムコール検査プログラムは、その R e g C r e a t e K e y E x Aの引数を検查する。その検査の例は、本発明の概要の項で述ベたとおりである。

(実施形態 5 ：主な効果）

本実施形態により、呼び出されたシステムコール A P I 関数の引数の検査に基づいてコンピュータウィルス性の判断がされるので、より的確に判断を行なえる。

(実施形態 6 ) - 本発明の実施形態 6 として、システムリソースを変更するシステムコール A P I 関数が呼ばれた場合、変更されるシステムリソースの複製を生成するコンピュータウィルス検出装置について説明する。

(実施形態 6 ：構成）

本実施形態に係るコンピュータウィルス検出装置は、実施形態 4または 5 のコンピュータウィルス検出装置において、判断プログラムに、複製作成プログラムを含ませた構成となっている。「複製作成プログラム」は、そのアプリケーションプログラムのシステムコール A P I 関数によりシステムリソースが変更される場合に、その変更されるシステムリソースの複製を生成する。「そのアプリケーションプログラム」とは、プレークポイント設定部 9 0 2 によりブレークポイントの設定が行なわれたアプリケーションプログラムである。

したがって、本実施形態においては、ブレークポイント位置情報は、システムリソースを変更するシステムコール A P I 関数の位置を示すこととなる _n ここでいうシステムリソースとは、例えば、レジストリ、フアイルなど.、コンピュータが使用するリソースのうち、複製が可能なリソースを意味する。

例えば、レジストリを変更するシステムコール A P I 関数にブレークポイントを設定しておき、アプリケーションプログラムの実行が、そのブレークポイントに到達した場合には、レジストリの複製をする複製作成プログラムが実行される。複製が作成されると、システムコールによりレジストリの変更が行なわれる。レジストリの複製するにあつたては、レジストリ全体を複製してもよいし、変更される部分だけを複製してもよい。レジストリの変更される部分は、システムコール A P I 関数の引数により判断することができる。

なお、本実施形態において、複製作成プログラムの実行は、アプリケーシヨンプログラムがコンビュタウィルス性を有すると判断される場合に行なうようにしてもよい。これにより、作成される複製の量を減らすことができる。

(実施形態 6 ：処理）

図 1 7 は、本実施形態に係るコンピュータウィルス検出装置の処理のフローチヤ一トを例示する。

ステップ S 1 7 0 1 において、ブレークポイント位置情報が示す位置に、ブレークポイントをアプリケーションプログラムに設定する。

ステップ S 1 7 0 2 において、アプリケーションプログラムの実行がブレークボイントに到達するまで待つ。

ステップ S 1 7 0 3 において、判断プログラムを実行する。

ステップ S 1 7 0 4 において、判断プログラムの実行の結果が、ァプリケーシヨンプログラムがコンピュータウィルス性を有するものであるかどうかを判定する。もし、コンピュータウィルス性を有するものであれば、ステップ S 1 7 0 5 へ処理を移行させ、そうでなければ、ステツプ S 1 7 0 7へ処理をスキップさせる。

ステップ S 1 7 0 5 において、アプリケーションプログラムがシステムリソースを変更しようとしているかどうかを判定する。この判定は、到達したブレークポイントに係るシステムコール A P I 関数の種類、その引数を調べることにより行なうことができる。もし、システムリソースを変更しようとしている場合には、ステップ S 1 7 0 6へ処理を移行させ、そうでなければ、ステップ S 1 7 0 7へ処理をスキップさせる。ステップ S 1 7 0 6 において、複製作成プログラムにより、システムリソースの複製を作成する。

ステップ S 1 7 0 ' 7 において、全体の処理を終了するかどうかを判断する。もし、終了しないと判断されると、ステップ S 1 7 0 8 へ処理を移行させる。

ステップ S 1 7 0 8 において、アプリケーションプログラムの実行を続け、ステップ S 1 7 0 2へ処理を移行させる。もし、アプリケーションプログラムがコンピュータウィルスであり、システムリソースが不正なものに変更されても、ステップ S 1 7 0 6で作成された複製によりシステムを復元することができる。

(実施形態 6 ：主な効果）

本実施形態においては、変更されるシステムリソースの複製が作成されるので、アプリケーションプログラムがコンピュータウィルスでありコンピュータが感染したとしても、システムリソースの複製を用いてシステムの復旧が可能となる。

(実施形態 7 )

本発明の実施形態 7 として、アプリケーションプログラムがコンビュ —タウィルス性を有すると判断された場合に、システムコール A P I 関数の実行をさせないコンピュータウィルス検出装置について説明する。 (実施形態 7 ：構成）

図 1 8 は、本実施形態に係るコンピュータウィルス検出装置の機能ブ口ック図を例示する。本実施形態に係るコンピュータウイルス検出装置の構成は、実施形態 1 から 6 のいずれかのコンピュータウィルス検出装置が、実行阻止部を有する構成となっている。したがって、例えば、コンピュータウィルス検出装置 1 8 0 0 は、ブレークポイント情報保持部 9 0 1 と、ブレークポイント設定部 9 0 2 と、判断プログラム実行部 9 0 3 と、矣行阻止部 1 8 0 1 と、を有する。コンピュータウィルス検出装置 1 8 0 0 は、このほかに、アプリケーションプログラム保持部、プログラム実行開始部、ブレークポイント設定命令部を有していてもよい。

「実行阻止部」 1 8 0 1 は、判断プログラム実行部 9 0 3 による判断の結果、判断の対象となったアプリケーションプログラムがコンビユータウィルス性を有すると判断された場合に、アプリケーションプロダラムのシステムコール A P I 関数の実行をさせないための部である。

スタックの使用が図 5 に例示されたものである'場合には、実行阻止部 1 8 0 1 は、フレームポインタ（ f p ) の値を用いて、部分 5 0 4 に格納されている関数呼び出し前のフレームポインタの値を取得してフレームポインタ（ f p ) に設定し、プログラムカウンタの値を部分 5 0 3 に格納されている値にして、システムコール A P I 関数の実行をさせないようにする。

(実施形態 7 ：処理）

図 1 9 は、本実施形態に係るコンピュータウィルス検出装置の処理のフローチヤ一トを例示する。

ステップ S 1 9 0 1 において、ブレークポイント位置情報が示す位置に、ブレークポイントを、アプリケーションプログラムに設定する。ステップ S 1 9 0 2において、アプリケーションプログラムの実行がブレークポイントに到達するまで待つ。

ステップ S 1 9 0 3 において、判断プログラムを実行する。

ステップ S 1 9 0 4 において、判断プログラムの結果、アプリケーシヨンプログラムがコンピュータウィルス性を有するかどうかを判定する , もし、コンピュータウィルス性を有するのであれば、ステップ S 1 9 0 5 へ処理を移行させ、そうでなければ、ステップ S 1 9 0 6 へ処理をスキップさせる。

ステップ S 1 9 0 5 において、システムコール A P I 関数の実行をさせないようにする。この処理において、実行阻止部 1 8 0 1 を用いる。ステップ S 1 9 0 6 において、全体の処理を終了させるかどうかを判断する。もし、終了させないのであれば、ステップ S 1 9 0 7へ処理を移行させる。

ステップ S 1 9 0 7 において、アプリケーションプログラムの実行を続ける。その後、ステップ S 1 9 0 2 処理を移行させる。

(実施形態 7 ：主な効果）

本実施形態においては、危険なシステムコールの実行が阻止されるので、例えば、特定のワ ^ " ドプロセッサのマクロプログラムがコンビタウィルス性を有する場合に、ヮードプロセッサの機能を停止させることなく、危険なマクロプログラムの実行を阻止することが可能となり、危険なシステムコールの実行を阻止しつつ、アプリケーションプログラムの実行を継続することができる。

(実施形態 8 )

本発明の実施形態 8 として、コンピュータウイルス性を有するアプリケーシヨンプログラムの通信を阻止するコンビユ ^ "タウィルス検出装置と、通信機器と、について説明する。

図 2 0 は、本実施形態の概要を例示する。コンピュータ 2 0 0 1 が、通信機器 2 0 0 2を介して外部の通信網 2 0 0 3に接続されている。通信機器 2 0 0 2の代表的な例としては、ルータがある。コンピュータ 2 0 0 1の内部では、アプリケーションプログラムを実行するプロセス 2 0 0 4 と、コンピュータウィルス検出装置を実現するプロセス 2 0 0 5 が動作し、プロセス 2 0 0 5は、プロセス 2 0 0 4の振る舞いを監視している。もし、プロセス 2 0 0 4が実行するアプリケーションプロダラムがコンピュータウィルス性を有し、外部に対して通信 2 0 0 6 を行なおうとしたとする。この場合、プロセス 2 0 0 5は、プロセス 2 0 0 4 が外部に対して有害な通信を行なうとしているとみなして、その有害な通信を阻止するために、通信機器 2 0 0 2に対して通信阻止命令 2 0 0 7を出力する。通信機器 2 0 0 2は、通信阻止命令 2 0 0 7に基づいて、プロセス 2 0 0 4が行なおうとする通信のパケットを中継しないなどして、通信を阻止する。

(実施形態 8 ：コンピュータウィルス検出装置の構成）

図 2 1 は、本実施形態に係るコンピュータウィルス検出装置の機能プロック図を例示する。本実施形態に係るコンピュータウィルス検出装置の構成は、実施形態 1ないし 7のいずれか一におけるコンピュータウイルス検出装置が、通信阻止命令出力部を有する構成となっている。例えば、コンピュータウィルス検出装置 2 1 0 0は、ブレークポイント情報保持部 9 0 1 と、ブレークポイント設定部 9 0 2 と、判断プログラム実行部 9 0 3 と、通信阻止命令出力部 2 1 0 1 と、を有する。

「通信阻止命令出力部」 2 1 0 1 は、判断プログラム実行部 9 0 3による判断の結果、判断の対象となったアプリケーションプログラムがコンピュータウィルス性を有すると判断された場合、そのアプリケーションプログラムが通信システムコール A P I 関数を実行するときに、通信阻止命令を出力する。「通信阻止命令」とは、外部の通信機器に対して、アプリケーションプログラムが実行する通信システムコール A P I 関数による通信を失敗させるための命令である。

例えば、コンピュータウィルス性を持つと判断されたアプリケーションプログラムが、コンピュータの外部に対してデータを送信しようとしたり、コンピュータの外部からデータを受信しょうとしたりするために、通信のためのシステムコール A P I 関数を実行すると、外部の通信機器、例えばルータ、に対して、その通信を失敗させる命令が出力される。図 2 2 は、通信阻止命令の一例を示す。この例では、通信阻止命令は XM Lなどの構造化文書として記述されている。図 2 2 は、例えば図 2 0 において、コンピュータ 2 0 0 1 の I Pアドレスが 1 9 2 . 1 6 8 . 1 9 3 . 0 6 3 であり、プロセス 2 0 0 4が、 I Pアドレス力 S 1 0 . 1 3 9. 2 1 0. 2 5 4であり、ポートが 2 5番である通信を行なおうとした場合に出力される通信阻止命令を示している。このような通信阻止命令は、例えば、 S O A P ( S i m l e O b j e c t A c c e s s P r o t o c o l ) により、このような通信阻止命令が外部の通信機器に出力されるようになつていてもよい。

(実施形態 8 ：コンピュータウィルス検出装置の処理）

図 2 3 は、本実施形態に係るコンピュータウィルス検出装置の処理のフローチヤ一トを例示する。

ステップ S 2 3 0 1 において、ブレークポイント位置情報が示す位置に、ブレークポイントを、アプリケーションプログラムに設定する。ステップ S 2 3 0 2 において、アプリケーションプログラムの実行がプレークポイントに到達するまで待つ。

ステップ S 2 3 0 3 において判断プログラムを実行する。

ステップ S 2 3 0 4 において、アプリケーションプログラムが、コンピュータウィルス性を有するかどうかの判定を行なう。もし、コンビュ —タウィルス性を有すると判定されると、ステップ S 2 3 0 5 へ処理を移行させ、そうでなければ、ステップ S 2 3 0 7 へ処理をスキップする。ステップ S 2 3 0 5において、到達したブレークポイントが通信システムコール A P I 関数かどうかを判断する。もし、通信システムコール A P I 関数であれば、処理をステップ S 2 3 0 6へ移行させ、そうでなければ、ステップ S 2 3 0 7へ処理をスキップさせる。

ステップ S 2 3 0 6 において、外部の通信機器に通信阻止命令を出力する。この処理は、通信阻止命令出力部 ' 2 1 0 1 により行なわれる。ステップ S 2 3 0 7 において、全体の処理を終了するかどうか判定する。もし、終了しないのであれば、処理をステップ S 2 3 0 8 へ移行させる。

ステップ S 2 3 0 8 において、アプリケーションプログラムの実行を続ける。もし、実行が続いて、有害な通信が行なわれたとしても、ステップ S 2 3 0 6 において出力された通信阻止命令により、通信が阻止されることになる。

(実施形態 8 ：通信機器の構成）

図 2 4は、本実施形態に係る通信機器の機能プロック図を例示する。通信機器 2 4 0 0 は、通信阻止命令受信部 2 4 0 1 と、通信阻止部 2 4 0 2 と、を有する。

「通信阻止命令受信部」 2 4 0 1 は、通信阻止命令を受信する。通信阻止命令は、例えば、通信阻止命令出力部 2 1 0 1 により出力されるものであり、 X M Lで記述された場合には、図 2 2 に例示したものとなる。通信阻止命令を受信するためのポートを用意しておき、通信阻止命令受信部 2 4 0 1 は、このポートに通信阻止命令が送信されるまで待つ。また、必要に応じて、通信阻止命令を出力したプログラムが正当なプログラムであることを認証するための処理を行なってもよい。「通信阻止部」 2 4 0 2は、通信阻止命令受信部 2 4 0 1 で受信された通信阻止命令に基づいて、通信を阻止する。例えば、通信阻止命令が図 2 2 に示すものである場合、 1 9 2. 1 6 9 . 1 9 3. 0 6 3 の I P アドレス力ら、 1 0 . 1 3 9 . 2 1 0 . 2 5 4 の I Pアドレスのコンビユータの 2 5番ポートへ行く通信パケットの中継をしないなどの処理を行なう。

(実施形態 8 ：通信機器の処理） '

図 2 5 は、本実施形態に係る通信機器の処理のフローチヤ一トである。通信機器は、このブローチヤートにより示される処理を繰り返し実行する。

ステップ S 2 5 0 1 において、通信阻止命令が受信されるまで待つ。この処理は、通信阻止命令受信部 2 4 0 1 により行なう。

ステップ S 2 5 0 2において、通信阻止命令に基づいて通信を阻止する。この処理は、通信阻止部 2 4 0 2 により行なう。

(実施形態 8 ：主な効果）

本実施形態によれば、いわゆるスパイウェアなどのプログラムがコンピュータのデータを外部に送信することを防止することが可能となる。また、電子メールを介して感染が広がるコンピュータウィルスが送信する電子メールの送信を阻止することが可能となる。

(実施形態 9 )

本発明の実施形態 9 として、アプリケーションプログラムが到達したブレークポイントの履歴に基づいて、アプリケーションプログラムがコンピュータウィルス性を有するかどうか判断するコンピュータウィルス検出装置について説明する。

(実施形態 9 ：構成）

図 2 6 は、本実施形態に係るコンピュータウィルス検出装置の機能ブロック図を例示する。コンピュータウィルス検出装置 2 6 0 0は、ブレークポイント情報保持部 9 0 1 と、ブレークポイント設定部 9 0 2 と、判断プログラム実行部 9 0 3 と、履歴保持部 2 6 0 1 と、を有する。したがって、図 2 6 に機能ブロック図が例示されたコンピュータウィルス検出装置は、実施形態 1 に係るコンピュータウィルス検出装置が履歴保持部 2 6 0 1 を有する構成となっている。なお、本実施形態に保るコンピュータウィルス検出装置は、他の実施形態、すなわち、実施形態 2 から実施形態 8 のいずれか一に係るコンピュータウィルス検出装置が、履歴保持部 2 6 0 1 を有するものであってもよい。

「履歴保持部」 2 6 0 1 は、ブレークポイント設定部 9 0 2 で設定されたブレークボイントに前記アプリケーションプログラムが到達した履歴を保持する。「前記アプリケーションプログラム」とは、ブレークボイント設定部 9 0 2 によりブレークポイントが設定されたアプリケーションプログラムを意眛する。 .

したがって、本実施形態においては、アプリケーションプログラムの実行がブレークポイントに到達すると、例えば、どのブレークポイントに到達したか、その日時、ブレ^クポイントがシステムコール A P I 関数であれば、その引数、などを履歴として追加する。この処理は、判断プログラムが行なってもよいし、あるいは、判断プログラムに含まれるプログラムや、コンピュータウィルス検出装置 2 6 0 0 の部によって行なわれてもよい。なお、履歴保持部 2 6 0 1 が複数のアプリケーションプログラムが到達したブレークポイントの履歴を保持する場合には、ァプリケーションプログラムを識別する識別情報も履歴として追加されるのが好ましい。

本実施形態においては、判断プログラムは、履歴検査プログラムを有する。「履歴検査プログラム」とは、履歴保持部 2 6 0 1 で保持された履歴に基づいて、そのアプリケーションプログラムがコンピュータウィルス性を有するかどうかを判断する。

例えば、いわゆるデーモンプログラムと呼ばれるアプリケーションプログラムがある。デーモンプログラムは、コンピュータ内部に常駐して、要求が受信できるのを待ち、その要求に対してサービスを提供するアブリケションプログラムである。このようなデーモンプログラムが提供するサービスの内容は定型; (匕されており、したがって、デーモンプログラムの動作はほぼ一定である。例えば、デーモンプログラムのうち、ゥエブページの送信要求に対して、要求されたウェブページを返信するァプリケーシヨンプログラム (例えば、 A p a c h e と名前が付けられたプログラムが有名である）は、特定のポートに要求が送信されるのを待ち、要求されたウェブページを格鈉するファイルをオープンし、そのフアイルに対して r e a dを行ない、 r e a d の結果を返信し、ファイルをクローズして、ログファイルに書き込む、という処理を繰り返し行なう。また、オープンするべきファイルの場所は、特定のディレクトリ下であるという特性を持つ。したがって、このような一定の処理から逸脱した処理を行なうと、そのデーモンプログラムがコンピュータウィルスやワームに感染した可能性が高い。本実施形態では、このようにして、アプリケーションプログラムがコンピュータウィルス性を有するかどうかを判断する。

より具体的な例としては、ブレークポイントごとに、到達した回数を記録しておき、これまで到達したことがないプレークポイントに到達したならば、アプリケーションプログラムがコンピュータウィルス性を有すると判断する。あるいは、ブレークポイントの位置がシステムコール A P I 関数である場合には、履歴に基づいて、その引数の規則を抽出し、その規則に合致しない引数が与えられた場合には、アプリケーションプログラムがコンピュータウィルス性を有すると判断する。例えば、ファィルをオープンする際に指定されるファイルのパスに関する規則を、ヮィルドカードや正規表現として抽出し、そのワイルドカードや正規表現に適合しないパスのファイルをオープンしょうとした場合には、アプリケーションプログラムがコンピュータウィルス性を有すると ¾断する。なお、本実施形態は、デーモンプログラムにのみ適用できるのみならず、他のアプリケーションプログラムにも適用が可能である。例えば、一般人によるヮードプロセッサなどの使用は定型的なものである。そこで、定型的な使用で呼び出されるシステムコール以外が呼び出されると、そのワードプロセッサがコンピュータウィルス性を有すると判断されるようになつていてもよい。ヮードプロセッサを例に用いたが、表計算プログラム、プレゼンテーションプログラム、メーラ、ブラウザなどのァプリケーションプログラムにも適用ができる。

(実施形態 9 ：処理）

図 2 7 は、本実施形態に係るコンピュータウィルス検出装置の処理のフローチャートを例示する。 '

ステップ S 2 7 0 1 において、ブレークポイント位置情報が示す位置に、ブレークポイントを、アプリケーションプログラムに設定する。ステップ S 2 7 0 2 において、アプリケーションプログラムの実行がブレークポイントに到達するまで待つ。

ステップ S 2 7 0 3 において、ブレークポイントに到達した履歴を追加する。

ステップ S 2 7 0 4において、判断プログラムを実行する。ここで、履歴検査プログラムも実行されることになる。

ステップ S 2 7 0 5 において、終了するべきかどうかを判定する。もし、終了しないのであれば、ステップ S 2 7 0 6へ処理を移行させる。ステップ S 2 7 0 6 において、アプリケーションプログラムの実行を続ける。その後、ステップ S 2 7 0 2 に処理を移行させる。

なお、ステップ S 2 7 0 3 の処理は、判断プログラムを実行した後で行なわれるようになっていてもよい。

(実施形態 9 ：主な効果）

本実施形態によれば、アプリケーションプログラムの動作がこれまでと異なる傾向を示すかどうかに基づいて、コンピュータウィルス性を判断するので、一定の動作を繰り返し行なうデーモンプログラムなどの振る舞いの監視に有用である。また、正常な動作の履歴があればコンビュータウィルス性の判断が行なえるので、判断プログラムの作成が容易となる。

(実施形態 1 0 )

本発明の実施形態 1 0 として、アプリケーションプログラムがパーチャルマシンであるコンピュータウィルス検出装置について説明する。

(実施形態 1 0 ：構成）

図 2 8 は、本実施形態に係るコンピュータウィルス検出装 Sの使用の形態を例示する。 .コンピュータ 2 8 0 1 の内部で、コンピュータウィルス検出装置 2 8 0 2 とパーチャルマシン 2 8 0 3が動作している。コンピュータウィルス検出装置 2 8 0 2 は、実施形態 1 ないし 9 のいずれか一のコンピュータウィルス検出装置を実現するプログラムである。コンピュータウィルス検出装置 2 8 0 2 は、パーチャルマシン 2 8 0 3 にブレークポイントを設定し、振る舞いを監視する。

「パーチャルマシン」とは、他のプログラム 2 8 0 5 を実行するァプリケーシヨンプログラムである。通常は、他のプログラム 2 8 0 5 は、想定されたアーキテクチャのコンピュータのマシンインストラクションで記述される。代表的な例としては、 J a v a (登録商標）で記述され、コンパイルされたプログラムを実行するものがある。 J a v a (登録商標）のプログラムは、インターネットからダウンロードされることが想定されているので、多くの場合、その出所素性が不明であり、危険なプログラムである場合がある。そこで、例えば、 J a v a (登録商標）のパーチャルマシンは、実行するプログラムが O Sへの A P I ( 2 8 0 4 ) を自由に使ってコンピュータのリソースにアクセスすることを制限するように設計されている。しかし、バーチャルマシンのバグを利用して、バーチャルマシン上で動くプログラム 2 8 0 5がコンピュータのリソースに自由にアクセスする場合がある。

そこで、本実施形態のコンピュータウィルス検出装置 2 8 0 2が、パ一チャルマシン 2 8 0 3にブレークポイントを設定して、パーチャルマシン 2 8 0 3 の振る舞いを検出し、パーチャルマシン 2 8 0 3 がコンビユータウィルス性を有するプログラムを実行していないかどうかを判断する。なお、本実施形態においては、パーチャルマシンがコンピュータウィルス性を有するとは、コンピュータウィルス性を有するプログラムをパーチャルマシンが実行することをも意味するものとする。

(実施形態 1 0 ：主な効果）

'本実施形態により、バーチャルマシンのバグなどを利用するプログラムの実行を阻止することができる。

(実施形態 1 1 )

本発明の実施形態 1 1 として、実施形態 1 0 におけるコンピュータを携帯電話とした実施形態について説明する。

(実施形態 1 1 ：構成）

図 2 9 は、本実施形態に係るコンピュータウィルス検出装置の使用の形態を例示する。図 2 8 のコンピュータ 2 8 0 1 が携帯電話 2 9 0 1 に置き換わっている。 (実施形態 1 1 ：主な効果）

携帯電話の高機能化にはめざましいものがある。例えば、インターネット用のブラウザは言うに及ばず、 J a v a (登録商標）のバーチャルマシンも携帯電話の内部で動作するようになっている。また、従来はパ —ソナルコンピュータで動作していたオペレーティングシステムが携帯電話の内部でも動作するようになってきており、携帯電話で動作するプログラムが複雑化している。

しかし、携帯電話の販売が開始された後に、パグゃセキュリティホールが見つかる場合がある。一方、携帯電話はパーソナルコンピュータ以上の台数が巿場に出回り、携帯端末の回収にはコストがかかるうえ、時間も要する。このため、携帯電話で動作するバーチャルマシンなどのバグゃセキュリティホールを悪用したコンピュータウィルスが作成されると、その感染規模は予想もっかないこととなり、社会的な影響が大きい。例えば、パーチャルマシンのバグなどを利用して、あらゆる携帯電話のアドレス帳のデータが収集され、プライバシ情報の漏洩につながる。そこで、本発明のコンピュータウィルス検出装置を実現するプロダラムを、携帯電話の内部で動作させておき、パーチャルマシンにブレークポイントを設定して振る舞いを検出することにより、バグゃセキユリティホールなどを.悪用したコンピュータウィルスの動作を未然に防ぐことが可能となる。

産業上の利用可能性

上記のように本発明によれば、登録された命令の実行有無により監視対象プロセスの実行を中止、あるいは実行前の状態にロールパックできるようになり、従来に比してユーザの負担を軽減してウィルスへの感染予防、及ぴ、システムのクリ ^"ンアップができる。

また、本癸明は、プログラム実行時の振る舞いを検出するため、従来のシグネチヤスキャンでは必要であったスキャン前の圧縮ファイルの解凍や、暗号化フアイルの復号化等の前処理を必要としない。

したがって、本発明は、コンピュータウィルス検出装置として有用である。

Claims

請求の範囲

1 . アプリケーションプログラムの実行に際して設定するべきプレークポイントの位置を示す情報であるプレークポイント位置情報と、そのァプリケーションプログラムの実行が前記ブレークポイントに到達したときに、そのアプリケーションプログラムの実行で参照されるスタックの内容に基づいて、そのアプリケーションプログラムがコンピュータウイルス性を有するかどうかの判断を行なうための判断プログラムと、を含む情報であるブレークポイント情報を保持するブレークポイント情報保持部と、

アプリケーションプログラムに、前記ブレークボイント情報保持部で保持されたプレークポイント情報に基づいて、ブレークポイントを設定するためのブレークポイント設定部と、

前記アプリケーションプログラムの実行が、前^ブレークポイント設定部で設定されたブレークポイントに到達したとき、前記ブレークボイント情報に含まれる判断プログラムを実行する判断プログラム実行部と . を有するコンピュータウィルス検出装置。

2 . アプリケーションプログラムを保持するアプリケーションプロダラム保持部と、

アプリケーションプログラム保持部で保持されたアプリケーションプログラムの実行を開始するプログラム実行開始部と、

前記プログラム実行開始部で実行が開始されるアプリケーションプログラムに対して、前記ブレークポイント設定部にプレークポイントの設定を命令するブレークポイント設定命令部と、

を有する請求の範囲第 1項に記載のコンピュータウイルス検出装置。

3 . 前記ブレークポイント情報保持部が保持する前記ブレークポイント位置情報は、前記アプリケーションプログラムのシステムコール A P I 関数に基づいて定められる請求の範囲第 1 項に記載のコンピュータウイルス検出装置。

4 . 前記判断プログラムは、そのアプリケーションプログラムのシステムコール A P I 関数の引数の検査に基づいてそのアプリケーションプログラムがコンピュータウィルス性を有するかどうかの判断をするためのシステムコール検査プログラムを含む請求の範囲第 3項に記載のコンビユータウィルス検出装置。 '

5 . 前記システムコール検査プログラムによって検査される引数は、前記ブレークポイント情報保持部が保持するプレークポイント位置情報で定められるシステムコール A P I 関数の引数である請求の範囲第 4項に記載のコンピュータウィルス検出装置。

6 . 前記判断プログラムは、

そのアプリケーションプログラムのシステムコール A P I 関数の実行によりシステムリソースが変更される場合に、その変更されるシステムリソースの複製を作成する複製作成プログラムを含む請求の範囲第 4項または請求の範囲第 5項に記載のコンピュータウィルス検出装置。

7 . 前記判断プログラム実行部による判断の結果、判断の対象となったアプリケーションプログラムがコンピュータウィルス性を有すると判断された場合に、コンピュータウィルス性を有すると判断されたアプリケーシヨンプログラムのシステムコール A P I 関数の実行をさせないための実行阻止部を有する請求の範囲第 4項または請求の範囲第 5項に記載のコンピュータウィルス検出装置。

8 . 前記判断プログラム実行部による判断の結果、判断の対象となったアプリケーションプログラムがコンピュータウィルス性を有すると判断された場合に、アプリケーションプログラムが通信を行なう通信システムコール A P I 関数を実行するときに、外部の通信機器に対してアプリケーションプログラムが実行する通信システムコール A P I 関数による通信を失敗させるための命令である通信阻止命令を出力する通信阻止命令出力部を有する請求の範囲第 4項に記載のコンピュータウィルス検出装置。

9 . 前記ブレークポイント設定部で設定されたブレークポイントに前記アプリケーションプログラムが到達した履歴を保持する履歴保持部を有し、

前記判断プログラムは、前記履歴保持部で保持された履歴に基づいて、そのアプリケーションプログラムがコンピュータウィルス性を有するかどうかを判断する履歴検査プログラムを有する請求の範囲第 1 項に記载のコンピュータウイルス検出装置。

1 0 . 前記アプリケーションプログラムは、パーチャルマシンである請求の範囲第 1項に記載のコンピュータウィルス検出装置。

1 1 . 前記パーチャルマシンは、携帯電話内で動作する請求の範囲第 1 0項に記載のコンピュータウィルス検出装置。

1 2 . 前記通信阻止命令を受信する通信阻止命令受信部と、

前記通信阻止命令受信部で受信された通信阻止命令に基づいて、通信を阻止する通信阻止部を有する通信機器。

1 3 . アプリケーションプログラムの実行に際して設定するべきブレークポイントの位置を示す情報であるブレークポイント位置情報と、そのアプリケーションプログラムの実行が前記ブレークポイントに到達したときに、前記アプリケーションプログラムの実行で参照されるスタックの内容に基づいて、前記アプリケーションプログラムがコンピュータゥィルス性を有するかどうかの判断を行なうための判断プログラムと、を含む情報であるブレークポイント情報を保持するブレークボイント情報保持ステップと、

アプリケーションプログラムに、前記ブレークポイント情報保持ステップにより保持されたブレークポイント情報に基づいて、ブレークボイントを設定するためのブレークポイント設定ステップと、

前記アプリケーションプログラムの実行が、前記ブレークポイント設定ステップにて'設定されたブレークポイントに到達したとき、前記プレークポイント情報に含まれる判断プログラムを実行する判断プログラム実行ステップと、

をコンピュータに実行させるためのコンピュータウィルス検出プログラム。

1 4 . アプリケーションプログラムの実行に際して設定するべきプレークポイントの位置を示す情報であるブレークポイント位置情報と、そのアプリケーションプログラムの実行が前記ブレークポイントに到達したときに、前記アプリケーションプログラムの実行で参照されるスタックの内容に基づいて、前記アプリケ一ションプログラムがコンピュータゥィルス性を有するかどうかの判断を行なうための判断プログラムと、を含む情報であるブレークポイント情報を保持するブレークポイント情報保持ステップと、

アプリケーションプログラムに、前記ブレークボイント情報保持ステップにより保持されたブレークポイント情報に基づいて、ブレークポィントを設定するためのブレークポイント設定ステップと、

前記アプリケーションプログラムの実行が、前記ブレークポイント設定ステップにて設定されたブレークポイントに到達したとき、前記ブレークポイント情報に含まれる判断プログラムを実行する判断プログラム実行ステップと、

を含むコンピュータウィルス検出方法。