EICARウイルステストは悪意を持ってログを削除するために使用されましたか？
今日、私はLinuxサーバーでウイルス対策ソフトウェアをテストするように依頼されました。 EICARウイルステストの署名 を含むテキストファイルを作成しようとしました。ファイルは即座に削除され、リアルタイムのウイルススキャンが機能していたことを示しています。しかし、これは私に考えさせられました...これはASCII印刷可能な文字の比較的短い文字列であるため、ユーザー入力の多くの形式に簡単に挿入できます。ウイルスソフトウェアがこれを処理します。これを追加できる場合は、これを使用してファイルを強制的に削除できます。たとえば、Webサーバーが送信したすべての要求をログに記録し、このEICARを挿入するとしますウイルスの署名をリクエストに挿入すると、ファイルに記録され、ファイルが削除されます。GoogleでEICARウイルステストの悪用を検索してみましたが、実際に悪用された例を見つけることはできませんでした。これが以前に行われたことがあるかどうかを知っていますか？皮肉なことに、アンチウイルスソフトウェアは、さもなければ脅威にならないものに対する脅威になる可能性があるという興味深い考えです。
[編集]
結論として、AVソフトウェアに正しく実装されている場合、ログファイルに追加されたEICARテストは検出されません（これは良いことです）。ただし、これが常に正しく実装されているわけではないことがわかりました。したがって、これがログファイルに追加されると、一部のウイルス対策ソフトウェアが誤ってアクションを実行する可能性があります。以下の私の分析を見てください：
EICARテストの署名をファイル内で単独で正確に検出するウイルス対策ソフトウェア： https://www.virustotal.com/en/file/56606ad869484ccbb4d012f46c9c73ea9b20f9863351741aab96763345209564/analysis/1409779284/
ファイルに追加されている場合でもEICARテスト署名を検出するアンチウイルスソフトウェア（これはEICARテストルールに違反しているため、プロトコルに従ってAVソフトウェアに実装されていません）： https：// www。 virustotal.com/en/file/f5b88459f4b2c6425bdfc5c8f4f17027e0bfcc65a4c39dbb48f96c81ce17369c/analysis/1409779665/
[/編集]
いいえ、この方法では機能しません。
EICARから ドキュメント を読むと、理由がわかります。
最初の68文字は既知の文字列です。オプションで、ファイルの合計長が128文字を超えない空白文字の任意の組み合わせを追加できます。
したがって、ファイルは上記の文字列でstartする必要があり、128バイト以下にする必要があります。すべてのログはタイムスタンプで始まり、128バイトを超える可能性があります。