From: Yuya Kato <yuyakato@...>
Date: 2005-12-13T01:03:12+09:00
Subject: [ruby-list:41706] Re: Exerbコアからのトロイの木馬検出について

Yuyaです。

On Sun, 11 Dec 2005 17:21:48 +0900
Yuya Kato <yuyakato@gmail.com> wrote:

> 　そこで、上記アンチウイルスソフトウェアを持っている方に
> ご協力を願いたいと思っています。
> 調査頂きたい内容は、下記の2つです。
...
> ご協力、お願い致します。
情報を提供して頂いた皆様、ありがとうございます。

　私の方でも、提供して頂いた情報の中に登場していたVirus Total
というWebサイト<http://www.virustotal.com/>で検査してみました。
検査対象は、Exerb 3.1.0から3.3.1に含まれるコアファイルすべてを
zipで固めた物です。結果は下記の通りでした。
（検出したソフトウェアのみ一覧）

Antivirus   Version   Update     Result 
AntiVir     6.33.0.61 12.12.2005 TR/Kakkey.A 
AVG         718       12.08.2005 PSW.Generic.AGB 
Avira       6.33.0.61 12.12.2005 TR/Kakkey.A 
BitDefender 7.2	      12.12.2005 Trojan.Agent.EZ 
F-Prot      3.16c     12.09.2005 destructive program named W32/Trojan.QP
VBA32       3.10.5    12.10.2005 Trojan.Win32.Agent.ez 

現時点でわかっているのは：

* 件のトロイの木馬に使用されているコアは Exerb 3.3.1 の ruby182{c|g}.exc
  である可能性が高い
* トロイの木馬コードが含まれていないコアでも誤検出される
  僕が試したのはコンパイルしたばかりのコアと、bsfilter。
  <http://qgpop.dl.sourceforge.jp/bsfilter/17908/bsfilter-1.0.10.tgz>
* CVS上の最新、及びbranch3xxの最新では検出されない

上記bsfilterの用に、該当コアファイルを使用しているソフトウェアは
トロイの木馬として検出されてしまうようです。困った。
CVSの最新をリリースして、コアを最新に変更してもらうことで誤検出は
一時的になるなるかも知れませんが、トロイの木馬も最新のコアに
なった時点で、状況は元通り。

何か良い手だてはないものでしょうか。

====== Yuya Kato ======
E-Mail yuya@katoden.co.jp
   Web http://nuance.cc/
i-mode http://nuance.cc/i/