List of Malware [text.Baldanders.info]

ClamTk を導入する

2024-06-30T06:53:58+00:00

随分前に ClamAV を導入する話を書いたのだが，今回は GUI フロントエンドである ClamTk を導入する。

その前に ClamAV 手順が以前とは少し違ってるみたいなので，そこからやり直し。

ClamAV のインストール

ClamAV は APT でインストール可能。ここは以前と変わらず。

$ sudo apt install clamav clamav-daemon libclamunrar

前のときはなかった libclamunrar は圧縮ファイルの中身やメール添付ファイルを検証するパッケージらしい。 Ubuntu では依存パッケージとして libclamunrar11 もインストールされる。 Debian だと libclamunrar12 ってのがあるらいいけど Ubuntu の標準リポジトリにはなかった。

バージョンを確認しておこう。

$ clamscan --version
ClamAV 1.0.5/27321/Sat Jun 29 17:39:26 2024

おー。 v1 に到達してたのか。

インストール後のサービスの状態を確認する。

$ sudo systemctl status clamav-daemon.service
○ clamav-daemon.service - Clam AntiVirus userspace daemon
     Loaded: loaded (/usr/lib/systemd/system/clamav-daemon.service; enabled; preset: enabled)
    Drop-In: /etc/systemd/system/clamav-daemon.service.d
             └─extend.conf
     Active: inactive (dead)
TriggeredBy: ○ clamav-daemon.socket
  Condition: start condition unmet at Sun 2024-06-30 09:19:59 JST; 2min 11s ago
             └─ ConditionPathExistsGlob=/var/lib/clamav/daily.{c[vl]d,inc} was not met
       Docs: man:clamd(8)
             man:clamd.conf(5)
             https://docs.clamav.net/

ありゃ，状態が inactive だな。サービスを start させればいいのかな。

$ sudo systemctl start clamav-daemon.service
$ sudo systemctl status clamav-daemon.service
● clamav-daemon.service - Clam AntiVirus userspace daemon
     Loaded: loaded (/usr/lib/systemd/system/clamav-daemon.service; enabled; preset: enabled)
    Drop-In: /etc/systemd/system/clamav-daemon.service.d
             └─extend.conf
     Active: active (running) since Sun 2024-06-30 09:37:30 JST; 5s ago
TriggeredBy: ● clamav-daemon.socket
       Docs: man:clamd(8)
             man:clamd.conf(5)
             https://docs.clamav.net/
    Process: 1408921 ExecStartPre=/bin/mkdir -p /run/clamav (code=exited, status=0/SUCCESS)
    Process: 1408923 ExecStartPre=/bin/chown clamav /run/clamav (code=exited, status=0/SUCCESS)
   Main PID: 1408925 (clamd)
      Tasks: 1 (limit: 37666)
     Memory: 922.0M (peak: 922.0M)
        CPU: 5.803s
     CGroup: /system.slice/clamav-daemon.service
             └─1408925 /usr/sbin/clamd --foreground=true

んー，大丈夫かな。

設定ファイルは /etc/clamav/clamd.conf ができているはず。そのままでも問題ない。強いて挙げるなら MaxThreads の値が CPU コア数になってると思うので，適当に間引いた値にするとストレスになりにくい。

On-Access スキャンの設定については以下を参照のこと。

On-Access Scanning - ClamAV Documentation

設定変更したらサービスを restart してね。

ClamAV 動作確認

以下のページからテスト用のファイルをダウンロードする。

Download Anti Malware Testfile - EICAR

次に，以下のコマンドを実行しダウンロードしたファイルをスキャンさせる。

$ sudo clamscan -r --bell -i --max-filesize=100M -l scan.log .
/path/to/eicar-test/eicar.com.txt: Win.Test.EICAR_HDB-1 FOUND
/path/to/eicar-test/eicarcom2.zip: Win.Test.EICAR_HDB-1 FOUND
/path/to/eicar-test/eicar_com.zip: Win.Test.EICAR_HDB-1 FOUND
/path/to/eicar-test/eicar.com: Win.Test.EICAR_HDB-1 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 8695433
Engine version: 1.0.5
Scanned directories: 2
Scanned files: 11
Infected files: 4
Data scanned: 309.96 MB
Data read: 44.05 MB (ratio 7.04:1)
Time: 42.667 sec (0 m 42 s)
Start Date: 2024:06:30 09:53:06
End Date:   2024:06:30 09:53:49

んー，これも問題なさそうかな。ちなみにオプションの意味は

-r は指定したディレクトリを再帰的に走査する
--bell は malware を見つけたらベルを鳴らす
-i malware に感染したファイルのみを報告する
--max-filesize は指定したファイルより大きいファイルはスキップする（既定値は 25M）
-l はログファイルの指定

という感じ。

ClamTk のインストール

ClamTk のインストールも APT でOK。

$ sudo apt install clamtk

ただしそのままだと色々と不具合があるらしいので，以下のページを参考に，いくつかのファイルを変更する。

【Ubuntu】ウィルス対策。ClamTkが上手く動作しないときの対処あれこれ。 - freefielder.jp

まずは /usr/bin/clamtk (Perl ソース) ファイルから。

以下の記述を探す（45行目あたり？）。

setlocale( LC_ALL, '' );
# setlocale( LC_ALL, 'C' );

これのコメントを反転させる。

# setlocale( LC_ALL, '' );
setlocale( LC_ALL, 'C' );

もうひとつ。 /usr/share/perl5/ClamTk/Scan.pm (これも Perl ソース) ファイルについても以下の記述を探す（200行目あたり？）。

# Try to avoid scanning emails...
$directive .= ' --scan-mail=no';

これの no の部分を yes に変更する。

# Try to avoid scanning emails...
$directive .= ' --scan-mail=yes';

これって APT で ClamTk を更新する度にやるのかねぇ。面倒な…

まぁ，いいや。早速起動してみよう。

ClamTk

修正のせいで英語表記になってるのかな。これはしょうがないか。

まずは “Update Assistant” から

Update Assistant

“I would like to update signitures myself” にチェックを入れて Apply する。これは signiture データの更新を後述する “Scheduler” で行うため。

次に “Update” を開く。

Update

“Check for Updates” を押下して signiture データを更新する（上の図は更新後の状態）。

更に “Whitelist” を開いて /home/username ディレクトリ以下でスキャンから除外するディレクトリを指定する。

これでようやく “Scheduler” の設定ができる。

Scheduler

これでスキャンと signiture データの更新を行う時刻を指定できる。 “Scheduler” の設定は crontab に反映されている。こんな感じ¹。

$ crontab -l
1 1 * * * /usr/bin/freshclam --datadir=/home/username/.clamtk/db --log=/home/username/.clamtk/db/freshclam.log # clamtk-defs
10 1 * * * /usr/bin/clamscan --exclude-dir=/home/username/.clamtk/viruses --exclude-dir=smb4k --exclude-dir=/run/user/username/gvfs --exclude-dir=/home/username/.gvfs --exclude-dir=.thunderbird --exclude-dir=.mozilla-thunderbird --exclude-dir=.evolution --exclude-dir=Mail --exclude-dir=kmail --database=/home/username/.clamtk/db -i -r /home/username --log="$HOME/.clamtk/history/$(date +\%b-\%d-\%Y).log" 2>/dev/null # clamtk-scan

crontab って一見便利ぽいけど，コマンドライン・オプションの指定ミスで簡単に設定が消えちゃうし ClamTk みたいにツールが設定を行う場合もあるので，うっかり触れないんだよなー

愚痴はともかく，これで設定完了。とりあえず “Scan a directory” で malware がないか確認しておこう。

お疲れ様でした。

ブックマーク

参考図書

スーパーユーザーなら知っておくべきLinuxシステムの仕組み: Brian Ward (著), 柴田芳樹 (翻訳); インプレス 2022-03-08 (Release 2022-03-08); 単行本（ソフトカバー）; 4295013498 (ASIN), 9784295013495 (EAN), 4295013498 (ISBN); 評価

[Comment] 版元で PDF 版が買える。セキュリティ・エリアにも持ち込めるよう紙の本を買ったのだが，オンライン読書会が始まったので PDF 版も購入。Linux システムの扱い方に関するリファレンス本として優れている。最初に軽く流し読みして，必要に応じて該当項目を拾い読みしていけばいいだろう。

reviewed by Spiegel on 2023-02-11 (powered by PA-APIv5)

私は裏で色々バッチ処理を行ってる関係で，マシンは基本的に立ち上げっぱなしである。 ↩︎

XZ Utils に仕組まれたバックドアに関する覚え書き

2024-04-01T11:18:07+00:00

先日から騒ぎになっている XZ Utils に仕組まれたバックドアについて覚え書きとしてブックマークをまとめておく。最初は単なるセキュリティ脆弱性か悪意のコードかみたいな話が飛び交ってた気がするが，完全に malicious code として認知されたみたいね。まぁ，詐欺としてはよくある話。悪人顔の詐欺師なんかフィクションである（笑）

起こったことはしょうがないので，ユーザとしては粛々と対応するしかない。政治的な話は知らんが，願わくばまっとうなエンジニアを非難し活動を萎縮させるような行為は止めていただきたいものである。

XZ Utils backdoor
NVD - CVE-2024-3094
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 深刻度: 緊急 (Score: 10)

基本評価基準	評価値
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要
ユーザ関与レベル	不要
スコープ	変更あり
機密性への影響	高
完全性への影響	高
可用性への影響	高

ただの圧縮ソフトだろ，と思うかもしれないが

影響を受けたライブラリをリンクしているsshdを使用していた場合、liblzmaの実装が改ざんされ、任意のソフトウエアを利用できるようになり、結果として外部から不正アクセスをされる恐れがある

XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyologより

ということで，近年話題になっているサプライチェーン攻撃としても結構ヤバい話である。今のところ（2024-04-01 時点），対応としては影響を受けないバージョン（5.4.6など）にダウングレードするしかない。

ただし，影響を受ける Linux ディストリビューションのバージョンが少ないのは不幸中の幸いだろう。 Ubuntu は，自前で最新版を入れていない限り，現在リリースされているバージョンではいずれも影響がないようだ。

詳しい情報は以下が参考になる。

その他，参考情報：

ブックマーク

参考図書

スーパーユーザーなら知っておくべきLinuxシステムの仕組み: Brian Ward (著), 柴田芳樹 (翻訳); インプレス 2022-03-08 (Release 2022-03-08); 単行本（ソフトカバー）; 4295013498 (ASIN), 9784295013495 (EAN), 4295013498 (ISBN); 評価

reviewed by Spiegel on 2023-02-11 (powered by PA-APIv5)

ハッキング思考　強者はいかにしてルールを歪めるのか、それを正すにはどうしたらいいのか: ブルース・シュナイアー (著), 高橋聡 (翻訳); 日経BP 2023-10-12; 単行本; 4296001574 (ASIN), 9784296001576 (EAN), 4296001574 (ISBN); 評価

[Comment] 「AI時代にルールを味方につけるには、「正しいハッキングの考え方」が必要だ」（帯の言葉より）

reviewed by Spiegel on 2023-10-13 (powered by PA-APIv5)

セキュリティはなぜやぶられたのか: ブルース・シュナイアー (著), 井口耕二 (翻訳); 日経BP 2007-02-15; 単行本; 4822283100 (ASIN), 9784822283100 (EAN), 4822283100 (ISBN); 評価

[Comment] 原書のタイトルが “Beyond Fear: Thinking Sensibly About Security in an Uncertain World” なのに対して日本語タイトルがどうしようもなくヘボいが中身は名著。とりあえず読んどきなはれ。ゼロ年代当時 9.11 およびその後の米国のセキュリティ政策と深く関連している内容なので，そのへんを加味して読むとよい。

reviewed by Spiegel on 2019-02-11 (powered by PA-APIv5)

最近のセキュリティ・インシデント

2020-09-11T04:55:11+00:00

（この記事は Facebook の TL に書き散らした内容からの再構成です）

言い訳すると，私はもう「エンジニア」でも「管理者」でもないので，自身に直接降りかかりそうなセキュリティ・インシデント以外は知らないふりをすることにしている（一応ブックマークは溜め込んでるけど）。でも，まぁ，最近話題の以下の2つはブログ記事として記しておこうかな，と思ったので（笑）

帰ってきた Emotet

Emotet は主に電子メールで媒介される「トロイの木馬」に分類される malware で，単独での拡散機能はない。

日本では2019年末あたりから報告例が上がっていて，一時は沈静化していたが，2020年7月中旬から再活性化している。

Emotet の特徴は以下の通り。

Emotet は単体で感染することは少なく、認証情報を盗み出すトロイの木馬や身代金を要求するランサムウェアと一緒に感染することが多く、標的となるEメールや連絡先などの情報を盗み出し、これらの情報を利用して、実際に交わされたEメールの内容や連絡先を悪用し、偽装したEメールを配信することで新たな被害者を標的にします。受け取ったメッセージは正規のもののように見えてしまうため、ユーザーがこのフィッシングメールを判別することは極めて困難にです。Emotetは定期的にアップデートや改変が繰り返されており、Emotet自体とコマンド＆コントロールチャネルが更新できるため、従来のアンチウイルスのシグネチャやネットワークレベルでの検知は困難です

活動を休止していたEmotetが再び活発に – 感染リスクを軽減するためには - F-Secureより

つまり Emotet 侵入は「第一段階」に過ぎず，次段階の内部情報の窃盗や ransomware を使った脅迫行為に向けた情報収集に使われているようだ。

標的型ランサムウェア被害企業が1年以上前からEmotetに感染していた可能性についてまとめてみた - piyolog

なので Emotet を検出しても，それを「除去して終わり」とはならず，内部システムの徹底的な洗い出しや情報漏洩の可能性の検討等の面倒くさい作業が待っているわけだ。

Emotet 特効の防御策はないが，電子メールを媒介とすることから，通常の phishing 対策の徹底が重要となる。

身に覚えのないメールの添付ファイルは開かない。メール本文中のURLリンクはクリックしない。

自分が送信したメールへの返信に見えるメールであっても、不自然な点があれば添付ファイルは開かない。

OSやアプリケーション、セキュリティソフトを常に最新の状態にする。

信頼できないメールに添付されたWord文書やExcelファイルを開いた時に、マクロやセキュリティに関する警告が表示された場合、「マクロを有効にする」「コンテンツの有効化」というボタンはクリックしない。

メールや文書ファイルの閲覧中、身に覚えのない警告ウインドウが表示された際、その警告の意味が分からない場合は、操作を中断する。

身に覚えのないメールや添付ファイルを開いてしまった場合は、すぐにシステム管理部門等へ連絡する。

「Emotet」と呼ばれるウイルスへの感染を狙うメールについてより

最近の事例として面白いのは「パスワード付き zip ファイル」をパスワードと共に添付して送るタイプである。

「Emotet」と呼ばれるウイルスへの感染を狙うメールについてより

通常の添付ファイルは（企業・組織によっては）メールサーバ到達時点で拒否されることがあるため「パスワード付き zip ファイル」が使われるのだろうが，これが見事に日本の特殊商慣行というか奇習にマッチしているようで，9月に入ってから Emotet の侵入報告が激増しているらしい（笑）

個人的には（少なくともビジネス・シーンでは）メールにファイルを添付して送るのは今や「悪習」だと思う。ファイルの共有を行いたいのであれば Google drive や Box, Dropbox などのストレージ・サービスを活用すべきだろう。かといって Firefox Send のような認証を omit した仕組みでは却ってリスクが増すけれど。

キャッシュレス決済の脆弱性

私もどうしても「どこもろざ」と読んでしまう。そもそも「銀行口座」を連想させるようなネーミングからして失敗だよな（笑）

ドコモ口座を悪用した不正送金についてまとめてみた - piyolog

Twitter の TL を眺めるに，「docomo 利用者以外は関係ない」と思っている人が意外に多そうだ。関係ないからね。上のリンク先の記事に挙がっている銀行の口座を持っている人は，一度は残高履歴を確認することを強くお勧めする。

「ドコモ口座」は最近流行りの「キャッシュレス決済」サービスのひとつである。

いわゆる「キャッシュレス決済」の市場は既に飽和していて「パイの食い合い」状態になっている。これに拍車をかけるのが政府主導の「マイナポイント」で，ぶっちゃけ非常にウザい。

キャリア系の決済サービスの強みは回線契約自体が利用者の「信用」を担保することだったと思うが，サービス対象者を不特定に拡大してしまったために「信用」の構造が変わってしまったのが今回のポイントのひとつだろう。

もうひとつはチャージに「Web 口振受付サービス」を使っていること。

ドコモ口座を悪用した不正送金についてまとめてみたより

これは結構ヤバい仕組みだ。

邪推だが「ドコモ口座」では「口座振替」が同一ユーザ内で完結するから問題ないと思ったのだろう。しかし，実際には「ドコモ口座」ユーザが「誰か分からない」のだから，この前提は成り立たない。

まぁ「ドコモ口座」は 2020-09-10 までに全ての銀行口座登録・変更機能を停止したそうで，遅きに失したとはいえ，措置としては妥当だろう。

銀行口座登録の申込受付停止および一部銀行のチャージ停止について

「ドコモ口座」では「本人確認」を強化すると言っているが「本人確認書類」の詐取はいくらでもあり得るのだから，オンラインでの（完全な）身元確認は無理と考えたほうがいい。むしろ「オンラインでの身元確認は無理」という前提で，どのようにサービスを設計するかが重要だろう。

あと，いまどき SMS 認証はヤメロ！やる気あんのか？

これ，今回はたまたま「ドコモ口座」だっただけで，似たようなことをやらかしてる「キャッシュレス決済」サービスは結構あるんじゃないの？今回のインシデントを通じてきちんとリスク・アセスメントを行い，必要なら法規制をかけないと。野放図にやりたい放題やる季節は（7pay 崩壊とともに）終わってるのよ。

また，この手の犯罪は必ず模倣者が出る。しばらくは残高履歴をこまめにチェックしたほうがいいだろう。

【2020-09-12 追記】暗証番号を認証に使ってはいけない

Twitter で見かけたが某国営放送風テレビが「暗証番号を定期的に変える」とか馬鹿すぎることを言ってるらしい。誰がそんな頭の悪いことを言い始めたのやら… sigh

言うまでもないことだと思っていたが改めて言わせてもらうと，暗証番号や PIN コードは認証（authentication）には使えない。これらのコードは数字4桁から6桁で構成されている。このサイズの数字列を総当り方式で解読しても，かかるコストは1円未満しかならない。

利用する文字種類数と内訳				パスワード長
種類数	数字	文字	シンボル	4文字	8文字	12文字	16文字
10種	0-9	なし	なし	1円未満（$2^{13.3}$）	1円未満（$2^{26.6}$）	約35円（$2^{39.9}$）	約35万円（$2^{53.2}$）
36種	0-9	a-z	なし	1円未満（$2^{20.7}$）	約100円（$2^{41.4}$）	約1.65億円（$2^{62.0}$）	約276兆円（$2^{82.7}$）
62種	0-9	a-z A-Z	なし	1円未満（$2^{23.8}$）	約7,500円（$2^{47.6}$）	約1,120億円（$2^{71.5}$）	約165京円（$2^{95.3}$）
94種	0-9	a-z A-Z	! " # $ % & ' ( ) = ~ \| - ^ ` ¥ { @ [ + * ] ; : } < > ? _ , . /	1円未満（$2^{26.2}$）	約21万円（$2^{52.4}$）	約16.5兆円（$2^{78.7}$）	約129,000京円（$2^{104.9}$）

パスワード解読の想定コスト例（情報漏えいを防ぐためのモバイルデバイス等設定マニュアル解説編 2.4.2.2項より）

たとえば TOTP (Time-based One-time Password) 認証では6桁の数字列を使うが，生存期間は30秒程度で，つまりその程度の信頼性しかないのだ。

じゃあ，永続的な暗証番号や PIN コードが何に使われるのかというと，デバイスやアプリの「アンロック」に使われる。この場合，暗証番号や PIN コードはユーザと（手元の）デバイスの間でのみ共有されていればいいので，（アカウントのロックアウトも組み合わせれば）セキュリティ要件はかなり緩くできる。

しかし，暗証番号を「Web 口振受付サービス」のようなリモートサービスの認証で使うとなると話は変わってくる。そもそも銀行側が「キャッシュカードの暗証番号を保持ってる」こと自体が問題だと思うが…

そういえば，どっかの説教番組が「SIM の PIN コードは変更したほうが安全」とか馬鹿なことを言ったそうで，実際に試した人のトラブルが続出したらしい（笑）暗証番号や PIN コードは頻繁に変更するように考えられてないし，もし「頻繁に変更」が必要だと言うのなら，そのサービスやシステムは完全に失敗作である。

あっ，でも，最近は警察や銀行関係者を装って，キャッシュカードや暗証番号を詐取する詐欺が流行ってるらしい。詐欺に引っかからないのが一番だが，万一の事後処理として「暗証番号を変更する方法」は確認しておいたほうがいいだろう。

ブックマーク

参考図書

セキュリティはなぜやぶられたのか: ブルース・シュナイアー (著), 井口耕二 (翻訳); 日経BP 2007-02-15; 単行本; 4822283100 (ASIN), 9784822283100 (EAN), 4822283100 (ISBN); 評価

reviewed by Spiegel on 2019-02-11 (powered by PA-APIv5)

信頼と裏切りの社会: ブルース・シュナイアー (著), 山形浩生 (翻訳); NTT出版 2013-12-24; 単行本（ソフトカバー）; 4757143044 (ASIN), 9784757143043 (EAN), 4757143044 (ISBN); 評価

[Comment] 社会における「信頼」とは。

reviewed by Spiegel on 2015-11-28 (powered by PA-APIv5)

Ununtu に ClamAV を導入する

2019-05-06T08:39:20+00:00

ClamAV を Ubuntu に導入したのだが，思いのほか面倒臭かったので，覚え書きとして記しておく。

ClamAV をインストールする

ClamAV のインストール自体は APT (Advanced Package Tool) で簡単にできる。

$ sudo apt install clamav clamav-daemon

なお clamav-daemon は ClamAV をサービス化するためのパッケージである。

現時点（2019年5月）で ClamAV の最新は 0.101.x なのだが APT で提供されているバージョンは 0.100.x の古いバージョンのようだ。一応，以下の脆弱性への対応はしてあるみたいだが

ClamAV® blog: ClamAV 0.101.2 and 0.100.3 patches have been released!

このバージョンの古さは後々に影響を及ぼすかもしれない。 Debian には最新のソースパッケージがあるようだが，セキュリティ製品だしソースコードからビルドするのは流石に…

データベースを更新する

まずは手動でデータベースを更新する。

設定ファイル /etc/clamav/freshclam.conf から NotifyClamd の行をコメントアウトした上で freshclam コマンドを実行する。コマンドラインで書くとこんな感じ。

$ sudo systemctl stop clamav-freshclam

$ sudo sed -i -e "s/^NotifyClamd/#NotifyClamd/g" /etc/clamav/freshclam.conf

$ sudo freshclam
Sun May  5 13:36:34 2019 -> ClamAV update process started at Sun May  5 13:36:34 2019
Sun May  5 13:36:34 2019 -> ^Your ClamAV installation is OUTDATED!
Sun May  5 13:36:34 2019 -> ^Local version: 0.100.3 Recommended version: 0.101.2
Sun May  5 13:36:34 2019 -> DON'T PANIC! Read https://www.clamav.net/documents/upgrading-clamav
Sun May  5 13:36:34 2019 -> main.cvd is up to date (version: 58, sigs: 4566249, f-level: 60, builder: sigmgr)
Sun May  5 13:36:34 2019 -> daily.cvd is up to date (version: 25439, sigs: 1562310, f-level: 63, builder: raynman)
Sun May  5 13:36:34 2019 -> bytecode.cvd is up to date (version: 328, sigs: 94, f-level: 63, builder: neo)

$ sudo sed -i -e "s/^#NotifyClamd/NotifyClamd/g" /etc/clamav/freshclam.conf

$ sudo systemctl start clamav-freshclam

データベースの更新自体はうまく行ってるようだが OUTDATED とか言われてるよ orz

…見なかったことにしよう。

なお clamav-freshclam.service の状態を確認するには以下のコマンドを起動すればよい。

$ sudo systemctl status clamav-freshclam.service

手動で動作確認

Malware 対策ソフト用の無害なウイルス（笑）があるので，これを使って clamscan コマンドで動作確認する。

$ curl http://www.eicar.org/download/eicar.com -O

$ clamscan --infected --remove ./eicar.com
./eicar.com: Eicar-Test-Signature FOUND
./eicar.com: Removed.

----------- SCAN SUMMARY -----------
Known viruses: 6120222
Engine version: 0.100.3
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 0.00 MB
Data read: 0.00 MB (ratio 0.00:1)
Time: 20.181 sec (0 m 20 s)

よーし，うむうむ，よーし。

Scan On-Access の設定

ファイルアクセスへの常時監視を行う Scan On-Access を有効にするために /etc/clamav/clamd.conf ファイルを修正する。本当は ScanOnAccess を true にするだけでいい筈なのだが¹，以下のコマンドで

$ sudo systemctl status clamav-daemon.service

サービスの状態を確認すると以下のログを吐いて停止していた。

ERROR: ScanOnAccess: fanotify_init failed: Operation not permitted
ScanOnAccess: clamd must be started by root

/etc/clamav/clamd.conf ファイルの他の部分にも手を入れる必要があるようだ。以下に変更・追記が必要な項目を挙げておく。

LocalSocketGroup root
User root
ScanOnAccess true
OnAccessMountPath /home/username
OnAccessExcludePath /home/username/nocheck
# VirusEvent /usr/local/bin/clamd-response
OnAccessPrevention false
OnAccessExtraScanning true
OnAccessExcludeUID 0

最初の3行が変更が必要な項目，以降が追加項目である。 OnAccessMountPath でスキャン対象のディレクトリを OnAccessExcludePath で除外対象を指定する。どちらも複数指定できる。

VirusEvent が効かない！？

上の設定で VirusEvent をコメントアウトしているが，どうやら 0.100 では Scan On-Access を有効にしても VirusEvent の設定が効かないようなのだ（0.101 はどうなんだろう）。

VirusEvent には malware を発見した際に起動するコマンドを指定するのだが，これが動かないってかなり致命的じゃないのか？

次善の策として以下のスクリプトを書いて cron で回すことにした。 Malware を検出すれば画面に通知が表示されるはずである。 cron で回してるだけなのでタイムラグが発生する。

#!/bin/bash

logfile="/home/username/.local/log/clamd-found.log"
if [ -r $logfile ]; then
  PRV_CNT=`cat $logfile | wc -l`
else
  PRV_CNT=0
fi
CNT=`grep ScanOnAccess /var/log/syslog | grep FOUND | grep -v "(null)" | tee $logfile | wc -l`
if [ $CNT != $PRV_CNT ]; then
  DATESTR=`date`
  sudo -u username DISPLAY=:0 DBUS_SESSION_BUS_ADDRESS=unix:path=/run/user/1000/bus /usr/bin/notify-send -t 10000 "$DATESTR Virus Found $CNT"
fi

ダサいけどしょうがない。ちなみに username の部分には cron を回すログインユーザ名を， 1000 の部分にはそのユーザ ID をセットする²。

もう一度，動作確認

clamav-daemon.service がうまく機能するか試してみよう。

先ほどの無害なウイルス（笑）をダウンロードする。

$ curl http://www.eicar.org/download/eicar.com -O

これでログ等を見て検知しているか確認する（上の通知も出れば完璧）。確認できたらとっとと削除すること。

今回は clamdscan のほうを使ってみよう。

$ clamdscan --infected --remove ./eicar.com
/home/username/work/./eicar.com: Eicar-Test-Signature FOUND
/home/username/work/./eicar.com: Removed.

----------- SCAN SUMMARY -----------
Infected files: 1
Time: 0.365 sec (0 m 0 s)

圧倒的に速くなった。まぁ，バックグラウンドにサービスがいるんだから当たり前だが（笑）

Thunderbird と連携したかったが…

MUA である Thunderbird と連携できるアドオンがあると聞いたのだが

clamdrib LIN :: Thunderbird 向けアドオン

うまくインストールできない。

clamdrib LIN の最新バージョンは2017年のもので最近のバージョン 60 以降には対応してないっぽい（互換性チェック回避のオプションも試したがうまく行かなかった）。諦めるしかないようだ。

こんなんばっかだな＞ ClamAV

「ウイルス対策ソフト」は必要か？

なんだか知らないが「Linux にウイルス対策ソフトは必要か？」などという頭の悪い議論があるそうで，しかも「必要ない」という人の主張は「Linux ユーザは Windows や macOS に比べて規模が小さいから狙われにくい」という，これまた頭が悪いとしか言いようがないものらしい。

「ウイルス」という表現は古臭くて的を得ていないので，この記事では色々ひっくるめて malware (malicious software) という表現に統一させてもらうが，ぶっちゃけて言うなら使っている OS にかかわらず「ユーザレベルでは malware 対策はセキュリティ管理の中核ではない」というのが多分正しい。

じゃあ malware 対策は必要ないのかと言えば「さにあらず」で，しかしそういったものは外部化され不可視になっている。今どきの言葉で言うなら “Security as a Service” とでもいうような状況である。そしてそのプラットフォーム OS として Linux 等のセキュリティ要件はむしろ高まっていると言えるだろう。今回 ClamAV を触ってみて感じたことだが，一般ユーザにとって ClamAV がちょっと残念な感じになっているのはサーバ用途に最適化されつつあるからではないかと思うのだ。

セキュリティのトレンドは「防衛」中心から「監視」中心にシフトしていて，単純に malware をバラ撒いただけではすぐに検知され対策されてしまう。故に攻撃側も時間をかけてでも密やかに確実にターゲットを追い詰める social engineering を駆使した各種ターゲティング攻撃へとシフトしている。

Phishing メールやそれに含まれる malware 検知などはサービスプロバイダが（有料のものも含めて）やってくれるし， Web についても Phishing サイトやマイニング・コード等を含んだサイトはブラウザレベルでかなりいい感じにブロックできるようになりつつある³。そういう意味で私にとって malware 対策ソフトは「うっかり転んだときのための少額保険」みたいなもので，それ以外ではあまり出しゃばって欲しくなかったりする。

実際にそれまで使ってた Windows 7 でも “Microsoft Security Essentials” で必要十分な性能だったし ClamAV でも同程度の性能を満たしていれば，今回はそれでよかったのだ。それがこんなに面倒臭いとは思わなかった。

かといって malware 対策ソフトそのものに金銭は払いたくないし⁴，もうしばらく運用してから評価してみるですよ。

ブックマーク

サービスのリスタートには sudo systemctl restart clamav-daemon.service とすればよい。 ↩︎
ユーザ ID が分からない場合は id username とコマンドを打てば分かるだろう。 ↩︎
はっきり言ってフェイク・ニュースなんかより Phishing ページなどセキュリティ・リスクの高いコンテンツに対する監視の方にもっとリソースを割いてほしいのだけど。かといって中間車攻撃で暗号通信を覗き見るなんてのは論外だが。 ↩︎
Android 端末には F-Secure 社の FREEDOME を入れている。 FREEDOME 自体は VPN ソフトだが malware 対策機能も付いていて追跡コードもある程度ブロックしてくれる優れもの。実はこれの Linux 版があれば買ってもよかったのだがなかったのだ。仮想ネットワークについては I2P を試してみるか，と思っていたりする。 ↩︎

List of Malware [text.Baldanders.info]

ClamTk を導入する

ClamAV のインストール

ClamAV 動作確認

ClamTk のインストール

ブックマーク

参考図書

XZ Utils に仕組まれたバックドアに関する覚え書き

ブックマーク

参考図書

最近のセキュリティ・インシデント

帰ってきた Emotet

キャッシュレス決済の脆弱性

【2020-09-12 追記】 暗証番号を認証に使ってはいけない

ブックマーク

参考図書

Ununtu に ClamAV を導入する

ClamAV をインストールする

データベースを更新する

手動で動作確認

Scan On-Access の設定

VirusEvent が効かない！？

もう一度，動作確認

Thunderbird と連携したかったが…

「ウイルス対策ソフト」は必要か？

ブックマーク

【2020-09-12 追記】暗証番号を認証に使ってはいけない