Santa & Little Flocker登場——Macをランサムウェアから守る2つの注目アプリ

ランサムウェアに対抗できる強力なソフトウェアの開発は、セキュリティ研究者たちにとって長年の夢でした。これまでにもいくつかの復号ツールが生み出されてきましたが、残念ながらランサムウェアによる暗号化そのものを阻止するには至っていません。それだけに、この課題はますます難しくなっています。とはいえ、最後には善が悪に打ち勝つということを、私たちは忘れてはなりません。

そんな中、Macworldの上級コントリビューターであるグレン・フライシュマン(Glenn Fleishman)氏が、Macにおけるランサムウェア攻撃を防ぐ力を持つ2つの注目アプリを紹介しました。その名も「Santa(サンタ)」と「Little Flocker(リトル・フロッカー)」です。簡単に言えば、Santaは悪意のあるアプリを特定し、Little FlockerはMac上のドキュメントをあらゆる被害から守る役割を担います。では、これらはどのように動作するのでしょうか。

Santaの仕組み

もちろん、これはMacのための本物の「サンタクロース」ではありませんが、安全というプレゼントをもたらしてくれる存在かもしれません。Santaは、Googleが多数のMacを運用する中で開発を進めてきたアプリケーションで、ブラックリストに登録されたアプリがMacにインストールされるのをブロックすることを目指しています。

これまでMacのセキュリティを突破したランサムウェアは、「KeyRanger」という変種ただ一つでした。当時Appleは感染したTransmissionの配布を取り下げ、アップデート版で脆弱性を修正しました。しかし現在、研究者たちはランサムウェアの攻撃を一切許さない、より完全な防御アプリの提供を目指しています。

一般的なアンチマルウェアソフトは、悪質なソフトウェアを識別してブラックリスト化し、その実行を防ぎます。しかし、その判定は「シグネチャ(署名)」チェックに依存しており、シグネチャとして登録されたソフトウェアしか検出できません。シグネチャとは、アンチマルウェアソフトに組み込まれた固有のコード群で、プログラムの中の悪質な振る舞いを見つけ出す手がかりとなるものです。ところが近年のマルウェア作者はこの仕組みを熟知しており、シグネチャチェックをすり抜けるために膨大な数の変種を作り出しています。

その点、Santa(開発途上)は一歩先を行っています。ホワイトリストとブラックリストの両方を賢く識別し、最終的にはデータベースをサーバーと同期する予定です。Santaには「モニターモード」と「ロックダウンモード」の2つのモードが用意されています。モニターモードでは、Macで起動するすべてのアプリケーションの情報を記録しつつ、特定のブラックリスト登録アプリのみをブロックします。悪意あるアプリの判定は、アプリのアルゴリズムからなる「フィンガープリント(指紋)」をSantaのバイナリコードと照合することで行われ、該当するアプリの起動を阻止します。一方、ロックダウンモードでは、システムレベルのものかユーザーが起動したものかにかかわらず、ホワイトリスト登録済みのアプリのみが実行を許可されます。信頼できる開発者の署名を持つアプリも同様に許可されます。さらに、ロックダウンモードではディレクトリ単位でブラックリストを設定でき、「アプリケーション」フォルダや「システム」フォルダ以外にインストールされたソフトウェアの実行を防ぐことも可能です。

開発チームは、まずしばらくの間モニターモードで運用し、普段のアプリ利用状況を観察することを推奨しています。自分の使い方が把握できたら、独自のホワイトリストを作成し、ロックダウンモードへ切り替えるのがよいでしょう。

もう一つの盾、「Little Flocker」

Googleによる悪質ソフトのブロックだけでは不十分と感じたら、「Little Flocker」が頼みの綱になります。このアプリケーションは、セキュリティ研究者ジョナサン・ズジアルスキー(Jonathan Zdziarski)氏の研究成果によるもので、現在ベータテスト中です。Little Flockerは、より包括的なシステム挙動の分析・遮断ツールです。すべてのアプリケーションを綿密に監視し、無秩序な振る舞いをするアプリによるファイルの改ざんや削除を制限します。ユーザーが変更する全ファイルへのアクセスを一律に許すのではなく、フォルダ階層の一部ごとにアプリのアクセスを承認する仕組みを採用しています。これにより、既知のアプリを破壊から守るとともに、新しいアプリがユーザーの知らないうちにMac上の全ファイルへのアクセス権を突然得る道を断ち切ります。

現在、Macを守る多くのアンチマルウェアソフトは、着信・発信を問わず未承認のネットワーク活動の監視やブロックにとどまっています。それは、多くのマルウェアが遠隔操作でファイルへアクセスし、犯罪者へ情報を流出させようとするためです。しかしLittle Flockerは、すべてのアプリケーションに鋭い目を光らせ、脆弱性を残す余地を与えません。

これまでAppleは自社コンピュータに高いレベルの保護を維持してきたため、ユーザーは比較的安全に過ごせてきました。SantaとLittle Flockerは、その防御をさらに高めてくれるでしょう。しかし残念ながら、ランサムウェア犯罪者の主な標的であるWindows向けには、こうしたアプリはまだ存在しません。GoogleやZdziarski氏、そして他の研究者・開発者たちが、Windows向けの確実なランサムウェア対策を実現し、この悪行の拡散を食い止めてくれることを願うばかりです。