Microsoft Defender、Torブラウザーをトロイの木馬として検出しシステムから削除
(deform.co)- Windows 10/11に標準搭載されている Microsoft Defender が、最新の Torブラウザー を "Win32/Malgent!MTB" マルウェアとして検出する問題が、多くのユーザーから報告されている
- Torブラウザーは onion routing 方式で匿名のインターネット接続を可能にする、無料のオープンソースソフトウェア
- 今回の誤検知は、Torを悪用して活動を隠すトロイの木馬を識別しようとする 新しいヒューリスティック検出方式 が原因とみられるが、DefenderがTor自体を悪意あるものとして表示している状況
- ヒューリスティック検出は、事前定義されたルールとアルゴリズムで疑わしい挙動を識別する方式で、従来のシグネチャベース検出と異なり 誤検知(false positive) の可能性がある
- Tor側は、公式サイトからインストールしたものであれば警告を誤検知とみなし、例外リストへの追加と隔離からの復元 で対応するよう推奨
問題の発生状況
- Windowsユーザーから最近大規模に報告されている内容で、Windows 10および11に標準統合された Microsoft Defender ウイルス対策が、最新版のTorブラウザーを "Win32/Malgent!MTB" マルウェアとして検出
- Torブラウザーは onion routing を使って匿名でインターネットを閲覧する無料のオープンソースソフトウェアで、オンラインプライバシー確保に不可欠なツール
誤検知の原因分析
- 専門家は今回の不具合が、Microsoft Defenderの 新しいヒューリスティック検出方式 によるものだと見ている
- この方式は、Torを利用して活動を隠す トロイの木馬 を識別するよう設計されているが、Defenderはトロイの木馬にとどまらずTor自体を悪意あるものとして表示
- ヒューリスティック検出は、事前定義されたルールとアルゴリズムで疑わしい動作を識別する方式
- 既知のマルウェアの特定データベースに依存する シグネチャベース検出 とは異なる
- 新たな脅威の検出には有効な場合があるが、誤検知(false positive) を頻繁に引き起こす可能性がある
推奨される対応策
- Tor側は、ブラウザーが 公式ウェブサイト からインストールされたものか確認するよう案内
- 正規の公式ソースからダウンロードした場合、Defenderの警告は誤検知とみなすべき
- 開発者は、TorをMicrosoft保護ソフトウェアの 例外リスト(exclusion list) に追加するよう推奨
- DefenderがTorの動作に影響を与えた場合は、隔離から "tor.exe" を復元することを勧めている
- 執筆時点でMicrosoftはこの問題について 公式見解を出していない
1件のコメント
Hacker Newsの意見
以前 アンチマルウェアチームで働いていたが、この件に関連して議論になりがちな論点が2つあった
まず、何をマルウェアとみなすかは、思った以上に定義が非常に難しい。迷惑なプログラムと悪意あるプログラムの境界は曖昧で、セキュリティツールもプライバシー保護を名目に、悪性ソフトウェアが痕跡を隠すときに使うような挙動をすることがある
もう一つは 誤検知。既知の正常なバイナリでテストして不適切に検出されないか確認するなど、誤検知を避けるために本当に努力していたし、検知漏れよりも誤検知のほうを恐れていた
Microsoftのアンチマルウェアチームも、今日はたまたま調子が悪かっただけで、悪意を持って行動したわけではないと思う
ユーザーは削除を防げるし、チームも「TorをMicrosoftの保護ソフトウェアの除外リストに追加し、DefenderがTorの動作に影響を与えた場合は隔離された
tor.exeを復元する」よう推奨している。十分に合理的に見えるそういう作品を作る人たちは、バイト単位で削りながら、音楽と3DグラフィックスをHNの記事いくつかより小さい単一の実行ファイルに詰め込んでいる。そのうえマルウェアまで入れる余地が残っているなら、あり得ない話だ
こうしたものがしばしばマルウェアとして検出される理由は、たいてい実行時圧縮やさまざまな省スペースの小技を使うためで、こうした手法は正常なプログラムでは珍しく、マルウェアでは一般的だからだ。マルウェアスキャナーがcrinklerやkkrunchyのようなものをサポートすることもできるかもしれないが、あまりにニッチなので気にかけるのは難しそうだ
もちろんその定義なら、Windows自体もマルウェアと見なされ得る
ここで名誉毀損に触れている別の返信があるため、「潜在的に望ましくないプログラム」のような分類がよく使われるのだと思う
すでに過去形で「表示されていた」話だ: https://forum.torproject.org/t/torbrowser-12-5-6-no-longer-f...
「最新のシグネチャデータベース（1.397.1910.0）では、
tor.exeはもはやWindows Defenderでトロイの木馬とは見なされません」報道どおりなら Tor Browserの大量削除が起き、被害はすでに発生している。多くのプライバシー・セキュリティ機能が無効化され、使えなくなり、一部は再インストールされないだろうし、再インストール時点では追加の脆弱性も生じる
Microsoftがこうしたことを簡単に実行できるという実演そのものも、このような事態を望まない人々と、そうした能力を欲しがる人々の双方にとって関心事だ
さらに、Microsoftが競合するWebブラウザを能動的に削除したことになるが、同社は過去にも競合ブラウザ周辺のさりげない小細工で警告を受けたことがある
Windows Defender が本当に嫌いだ。私たちが作っている比較的小規模なビデオゲームのアップデートを配布するたびに、しょっちゅうプレイヤーのコンピューターで検出されて削除される
そうなるとMicrosoftにファイルを提出して、誤検知の解除を受けなければならない。面白いのは、案内文にはアプリケーションの実行に必要なすべてのファイルを含む完全なパッケージをアップロードしろと書かれているのに、実際には誤検知を報告して
.exeだけをアップロードしても、翌日には誰かが解除してくれることだ。本当に疲れるちなみに、この有用な一覧もある。残念ながらだんだん古くなっている: https://github.com/hankhank10/false-positive-malware-reporti...
さらに心配なのは、EDRシステムがあるにもかかわらず、アンチウイルス業界がドードーのように姿を消していないことだ。
EDRは、バイナリ内でたまたまバイトパターンを見つけたという理由だけで隔離に送るのではなく、行動分析に基づいて警告を出す。
結局、自分で書いたbase64デコーダが、あるトロイの木馬で使われていたbase64デコーダに十分似ていたらしい。そのトロイの木馬も同じバージョンのMSVCでビルドされていたようで、
decode_base64関数を削除するか、十分に書き直すと、検出は安定して消えた。それ以来、ウイルスシグネチャというものはかなり恣意的なのだと信じるようになった。
アプリを作ったところ複数のアンチウイルスに引っかかり、その多くには誤検知の提出機能があったので、最終的に検出は削除された。そこに手動レビューが入ったとは思えないので、悪意のある行為者も同じことができそうだ。
こうした誤分類は極めてよくあり、特定の開発者により大きな影響を与えているように見える。例えば自分のGoバイナリが特定のトロイの木馬/ワームとして検出されたが、GitHub上の他のGoプロジェクトでもよくあることだったらしい。
自分が作っている小さな趣味プロジェクトがこうした機械学習アンチウイルスシステムに引っかかり、開発者として対処する方法がほとんどないように見える。
規模は小さいが、ユーザーコミュニティに問題と混乱を引き起こす。
自分のノートPCの1台のファン制御ソフトウェアは今でもオープンソースのカーネルドライバを必要としているが、かつて誰かがそれをEFIブートキットの設定に使ったため、今では脆弱なドライバのブロックリストを永遠にオフにしたまま使わざるを得ない。
ここでそういうケースだという意味ではないが、独裁政権の手に渡れば、Microsoft Defender、Play Protect、Gatekeeperのようなシステムは、批判者・反体制派・迫害される集団をあぶり出して沈黙させるために使われ得る。
暗号化とOCSPを使って、ユーザーが自分のデバイスで実行するものをリモートで承認または拒否できる、企業が強制する不透明なシステムは、国民を弾圧しようとする指導者たちが欲しがるものだろう。
数か月前、これに関連して楽しい出来事があった。社内ツールとして小さなWPF GUIを作ったのだが、やることといえばXMLファイルからデータを読み、シリアルポートに数バイトを出力するだけだった。
ビルドを圧縮して生産チームに送ったところ、Windowsが開くのを拒否した。トロイの木馬のようなものだと強く主張してきた。幸い、Defenderを無視して作業を続けられるオプションはあった。
検証のためにビルドをMicrosoftに提出したところ、完全にクリーンだと出た。本当にありがたい。
署名されていないものすべてにDefenderの警告が出て、署名されているものにもDefenderの警告が出る。「本物の」署名証明書のために月に数百ドルをさらに払わなければならないらしい。すでにお金を払っている証明書は、Defenderの警告を消せるほど安全ではないということなのか？
完全に恐喝ビジネスのように聞こえる。
参考までに、VirusTotalにも一部サンドボックス検出がある。[1] いくつかの企業はVirusTotalのデータを取得するためにお金を払っている。MicrosoftもDefenderでその結果を上書きしなければならなかった可能性が高い。
[1] - https://www.virustotal.com/gui/file/88c33af6f1963eb94683be1f...
昨日、公開IPv4が付いたリモートのWinSvr2012R2 VMにもうログインできない理由を「調査」する手伝いをした。
予想どおりハッキングされていたが、笑えたのは、ハッカー志望がインストールしていたものだった。「自分の」マシンを他のハッカー志望たちから守るために、RDPGuardを入れていたのだ。
数年前は、mIRCがWindows「ルートキット」の人気コンポーネントだった。制御と通信機能が内蔵されていたためだ。
Torもマルウェアが安全に通信するために使われるので、アンチウイルスをトリガーし得るのは不思議ではない。詳しくは[0]を参照。
https://news.ycombinator.com/item?id=37740584
ここにあるすべてのコンピュータでWindows 11を使っており、デスクトップとノートPCでTor Browserを実行しているが、この現象は見たことがない。
実際、今朝もTor Browserを実行した。最悪でも、解決済みの一時的な問題だったのだと思う。
MDE EP2の問題は、シグネチャベースの定義を十分なテストなしに、すべての顧客の全フリートへ配布しているように見える点にある。
そのせいでアプリのショートカットをすべて削除してしまう事態があり、エンドユーザーはアプリがすべて削除されたと思い込むことになった。
マシンにマルウェアがあるなら、すでに侵害されているのだから、いわゆる「修復」で選択的かつ恣意的に直すのではなく、イメージを作り直すべきだ。そもそも信頼できない出所の任意のソフトウェア実行を防ぎ、マシンにマルウェアが存在しないようにすべきだ。
シグネチャベースのアンチマルウェアは最後の防衛線であり、すでに侵害が起きた後なので、マシンの侵害を防げないことが多い事後対応型のセキュリティだ。
もう一つの問題は、マルウェアが新しすぎる、または広く発見されていないため、その一部にしかシグネチャが存在しない点だ。
最後の問題は、害はないが一部の集団が嫌うことをするという理由で「マルウェア」と誤分類されることだ。リモート制御、パスワード復旧、不正なキー生成ツールなどがこれに当たる。