Winny特別調査委員

久々のWinnyネタ。

セキュリティ関連企業のネットエージェントがP2Pファイル共有ソフトの利用履歴やウイルス感染歴をチェックするソフト「Winny特別調査委員」の販売を開始した。

このソフトは企業と社員がP2Pソフトウェア使用禁止に関する誓約書を交わした上でそれが守られているかどうかや、またAntinny系のウイルスの感染がないかを確認するというような利用方法を想定しているとか。

実行するとWinnyのインストール履歴、最終実行時、ウイルスの感染歴等が検知できるらしい。またWinny以外にShare（仮称）、Cabos、Limewireといった比較的メジャーなソフト以外にもBitCometやPerfect Dark（一瞬デフラグソフトかと思っちゃった）、Antinnyを検出するらしい。

でスラドや2chでは、配付されている体験版を解析した人がいたので、自分も同じようにダウンロードしてきて中身を見てみた。

体験版をダウンロードしてきてISOイメージを展開すると、実行ファイルp2ptest.exeがあるのがわかる。

自分はファイラーにWinFDを使っているんだけど、p2ptest.exeの上でリターンを押したら普通はファイルの中身が見えるんだけど、こいつの場合、実行形式のzip圧縮ファイルの様で更に中に入っているファイルの様子がわかった。

中にscriptというディレクトリがあり、その中にあるp2ptest.plというファイルがあった。これperlのファイルだが、この中にいろいろと書いてあった。

これを見ていると検出しているのはwinny.exe、winnyp.exe、Share.exe PERFECT DARK.EXE、cabos.exe、limewire.exe、BITTORRENT.EXE、BITCOMET.EXEというファイル名で探している。他にもkintamaとかもあったけど。

でこれらのファイルが実行されたことがあるかどうかの実行履歴と実行回数をレジストリの中から探し出してる模様。

このレジストリはプログラム名だけを記録しているので中身は何でもいいのでこれらと同名に変更して実行してももちろん検出しちゃうし、そもそもマイクロソフトのOSにはデフォルトでその名もshare.exeという実行ファイルがあるので、こいつもしっかりと検出してしまう。

また、このレジストリに実行記録を残すユーザー操作追跡機能ってのは、XPのスタートメニューをクラシック表示にしている人には全く不要な機能なので無効にしている人だっているだろうし、またその方法はチューニング系の技を紹介しているサイトや書籍に掲載されている。もちろん先ほどのperl文を見るとどこに記録されているかわかってしまうので、クラシック表示で使っている人はそもそも履歴が記録されていないし、XPスタイルで使っている人もそこのエントリを削除してしまえば検出されないって事になるのかな。

あれ、こんなんでいいの？

まぁ本当にやるやつは専用PC使ってたりとか他にもあんな手やこんな手を使うだろうし、そもそもそこまでやるやつは（それなりのスキルがあるので）そもそも感染する可能性も低いだろうし・・・

おもしろ半分にわけわかんないままやってみたっていう低レベル者の使用をさせないだけでも大きな効果があるってことなのかな。

今後Vistaが出てOffice2007が出たらP2Pでファイル共有する機能が付いてくるのはどうするんだ？

P2Pソフトは使いませんって言ってるところはこれらももちろん使えないし、そもそもLANによるファイル共有も出来ないって事よなぁ。