(57)【要約】      （修正有）【課題】画面キャプチャ技法を利用するマルウェアによって私的ユーザデータが取得されるのを防止する。【解決手段】エージェントは、コンピュータを監視し、実行されているプロセスを検出する１０。エージェントは、検査対象のプロセスが識別されるか否かチェックする１２。検査対象のプロセスが識別される場合は、プロセスは画面キャプチャの実施を許可される１８。識別されない場合は、エージェントは、検査対象のプロセスがウィンドウを開こうとしたかどうかチェックする１４。ウィンドウを開こうとしなかった場合は、エージェントは、検査対象のプロセスが画面キャプチャを実施するのを阻止する１６。検査対象のプロセスがウィンドウを開いた場合は、検査対象のプロセスは画面キャプチャの実施を許可される１８。【選択図】図１
2014235745.tif 000002
【特許請求の範囲】
【請求項１】
画面キャプチャ手法の使用を介したマルウェアによるデータ取得を防止する方法であって、
コンピュータ上でプロセスを検出するステップと、
前記コンピュータ上で前記プロセスが未確認プロセスであると判定するステップと、
前記未確認プロセスがウィンドウを開かないときに、前記未確認プロセスが画面キャプチャを実施するのを阻止するステップと
を含む方法。
【請求項２】
前記プロセスがホワイトリスト中にないときに、前記プロセスが前記未確認プロセスであると判定する、請求項１に記載の方法。
【請求項３】
マルウェアが画面キャプチャの実施によってデータを取得するのを防止するための非一時的コンピュータ可読媒体であって、
コンピュータ上で実行されるプロセスを分析して、前記プロセスがウィンドウを開くかどうか判定し、
前記プロセスがウィンドウを開かない場合に、前記プロセスが画面キャプチャを実施するのを阻止するように構成されている、非一時的コンピュータ可読媒体。
【請求項４】
画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムであって、
ウィンドウを開かない悪意ないプロセスのホワイトリストを収容するデータ記憶ユニットと、
ソフトウェアエージェントとを備え、
前記ソフトウェアエージェントが、
コンピュータ上で実行されるプロセスを分析して、前記プロセスがウィンドウを開くかどうか判定し、
前記プロセスが前記ホワイトリスト上にリストされているかどうか判定し、
前記プロセスが前記ウィンドウを開かず、かつ前記ホワイトリスト上にリストされていない場合に、前記プロセスが画面キャプチャを実施するのを阻止するように構成されている、システム。
【請求項５】
前記ホワイトリストが動的リストである、請求項４に記載のシステム。
【請求項６】
前記動的リストが外部入力によって更新される、請求項５に記載のシステム。
【請求項７】
前記動的リストが、前記システム内で生成されたデータに従って更新される、請求項５に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、コンピュータセキュリティの分野に関する。より詳細には、本開示は、画面キャプチャ技法を利用するマルウェアによって私的ユーザデータが取得されるのを防止することに関する。
【背景技術】
【０００２】
画面キャプチャは、ほとんどのコンピュータオペレーティングシステム中で利用可能な非常に有用なオプションであり、大多数のユーザが手放したがらないであろうものである。残念ながら、画面キャプチャオプションはまた、ユーザが自分の画面に入力した私的情報をマルウェアが取得するための扉も開く。例えば、ユーザが、銀行口座、又は、扱いに注意を要する他のウェブ位置にアクセスするとき、ユーザは、秘密情報を特定のフィールドにタイプ入力して、アクセスを得ることができる。このようなウィンドウが表示されたとき、このユーザのコンピュータにインストールされたマルウェアがアクティブ化される可能性があり、マルウェアは、画面をキャプチャし、したがって秘密情報もキャプチャする恐れがある。次いでマルウェアは、そのマルウェアの作成者に秘密情報を転送する恐れがある。
【０００３】
いくつかのセキュリティソフトウェアは、単純に、疑いを呼び起こす様々な条件下でシステムが画面キャプチャを実施できないようにすることによって、この問題に対処する。しかし、この手法は、潜在的なマルウェア攻撃の、多くの「偽陽性（false positive）」が結果的に識別されてしまうという大きな不都合を有し、このことは、ユーザが画面キャプチャを実施する必要があるときに実施できないというもどかしい状況につながる。これら及び他の欠点が存在する。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本開示は、前述の問題を軽減し、偽陽性判定の数を大幅に減らすための、方法及びソフトウェアエージェントを例示する。これにより、ユーザ体験が改善され、高レベルのセキュリティが維持されることになる。
【課題を解決するための手段】
【０００５】
本開示は、悪意ある画面キャプチャイベントを防止する、単純でありながらも効率的な方法を提供することができる。
【０００６】
本開示は、本開示の方法を実施するのに適した単純なソフトウェアエージェントを提供することができる。
【０００７】
本開示の他の目的及び利点は、記述が進むにつれて明らかになるであろう。
【図面の簡単な説明】
【０００８】
【図１】画面キャプチャの使用を介したマルウェアによるデータ取得を防止する工程を示すフローチャートである。
【図２】画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを示す図である。
【発明を実施するための形態】
【０００９】
本開示の一態様は、画面キャプチャ手法の使用を介したマルウェアによるデータ取得を防止する方法に関し、ウィンドウを開かない未確認（unidentified）プロセスが画面キャプチャを実施するのを阻止することを含む。
【００１０】
例示的な一実施形態によれば、プロセスは、ホワイトリストに含まれない場合に未確認とされる。本開示のこの実施形態では、ホワイトリストは常に更新されてよく、それにより、合法なプロセスが潜在的脅威と見なされ得る場合が過多になることが回避される。
【００１１】
別の実施形態によれば、マルウェアが画面キャプチャを実施することによってデータを取得するのを防止する際に、ソフトウェアエージェントが有用であることがある。ソフトウェアエージェントは、プロセスを分析して、プロセスがウィンドウを開くか否か判定するように構成される。
【００１２】
別の実施形態は、画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを対象とし、このシステムは、本開示のソフトウェアエージェントと、ウィンドウを開かない悪意ないプロセスのホワイトリストとを備える。例示的な一実施形態では、システムは、ホワイトリストが動的リストであってよく、この動的リストが外部入力によって、又はシステム内で生成されたデータに従って更新されてよいように、動作する。
【００１３】
後続の記述ではマイクロソフトウィンドウズ（Microsoft Windows）（登録商標）に基づくシステムに言及するが、本開示の方法は、必要な変更を加えて他のオペレーティングシステムにも適用できることを、当業者なら理解するであろう。本開示によれば、画面キャプチャを実施できる唯二つのタイプのプロセスは、１）それ自体でウィンドウを開くプロセス、及び、２）後でさらに論じるようにホワイトリストに登録されたプロセスである。
【００１４】
画面キャプチャを実施することによって情報を盗むようにプログラムされた、大多数の悪意あるプロセスは、ユーザのシステム中でウィンドウを開かないことがわかっている。このような悪意あるエージェント（すなわちマルウェア）は、ユーザに気付かれることも、適切なソフトウェア保護が装備されていないシステムに気付かれることもなく、こっそりと動作する。
【００１５】
開いたウィンドウをプロセスが有すること、したがってそのプロセスが合法と見なされることを検出するのに使用できる、様々なソフトウェアユーティリティが存在する。マイクロソフトコーポレーションによって供給されるこのようなユーティリティの例は、スパイ＋＋（Spy++）である。これは、ビジュアルスタジオ（Visual Studio）（登録商標）の一部であり、システムのプロセス、スレッド、ウィンドウ、及びウィンドウメッセージのグラフィカルビューを提供するＷｉｎ３２ベースのユーティリティである。参照しやすいように、ウィンドウが開かれるのを識別する第三者ユーティリティが、周知のスパイ＋＋（Spy++）ユーティリティであるとする。しかし、本開示においては、第三者ユーティリティを使用することは必須ではなく、実施形態を実施して、検査対象のプロセスがウィンドウを開いているか否か判定できるエージェントを本開示により作成することができる。
【００１６】
例示的な一実施形態によるシステムは、プロセスを調べて、開いたウィンドウがあるかどうか判定するソフトウェアエージェントと、悪意ないプロセスのホワイトリストとを、少なくとも備えてよい。システムは、追加のコンポーネント、エージェント、及び要素を備えてもよいが、これらは本開示の一部ではなく、したがって、簡潔にするために本明細書では詳細に論じない。
【００１７】
一実施形態では、ウィンドウを開かないがなお安全で悪意のないプログラムの「ホワイトリスト」を提供し更新することによって、偽陽性を判定する危険を低減することができる。この実施形態によれば、プロセスが画面キャプチャを実施しようとしているときであって、開いたウィンドウをプロセスが有さないとソフトウェアエージェントが判定したとき、このプロセスがホワイトリスト中にない場合は画面キャプチャを阻止することができる。
【００１８】
ホワイトリストは、悪意ない追加のウィンドウが開かないプロセス（ウィンドウレスプロセス）として更新される動的リストとすることができる。例示的な一実施形態では、動的リストは、外部データ（例えば、ユーザのオペレーティングシステムを悪意ある攻撃から守るために利用されるシステム外リポジトリから受け取られた定期的な更新）で更新することができる。しかし、別の実施形態では、動的リストは、本開示のシステム自体によって生成されたデータを使用して更新することができる。例えば、一実施形態は、ウィンドウレスプロセスからのスクリーンシューティングの試みを検出すると、このプロセスがホワイトリストに登録されるべきか否かをユーザに尋ねる（consult）ことができる。本開示の別の実施形態によれば、エージェントは、（複数の）プロセスの状況を常に把握し、ウィンドウ使用についてそれらのプロセスを監視することができる。したがって、プロセスが現在はウィンドウを有さないが過去のある時点で可視ウィンドウを有した場合は、スクリーンシューティング保護のために、このプロセスはウィンドウレスプロセスと見なされないことになる。
【００１９】
図１は、画面キャプチャの使用を介したマルウェアによるデータ取得を防止する工程を示すフローチャートである。第１のステップ１０で、エージェントは、コンピュータを監視し、実行されている（複数の）プロセスを検出する。次のステップ１２で、エージェントは、検査対象のプロセスが識別（identify）されるか否かチェックする。検査対象のプロセスが識別される場合は、プロセスは画面キャプチャの実施を許可される。識別されない場合は、次のステップ１４で、エージェントは、検査対象のプロセスがウィンドウを開こうとしたかどうかチェックする。ウィンドウを開こうとしなかった場合は、次のステップ１６で、エージェントは、検査対象のプロセスが画面キャプチャを実施するのを阻止する。検査対象のプロセスがウィンドウを開いた場合は、次のステップ１８で、検査対象のプロセスは画面キャプチャの実施を許可される。
【００２０】
図２に、画面キャプチャの使用を介したマルウェアによるデータ取得を防止するためのシステムを示す。システム２０は、ウィンドウを開かない悪意ないプロセスのホワイトリストを収容するデータ記憶ユニット２６と、ソフトウェアエージェント２２とを備える。ソフトウェアエージェント２２は、コンピュータ上で実行されるプロセスを分析し、そのプロセスがウィンドウを開くかどうか判定し、プロセスがホワイトリスト上にリストされておらずウィンドウを開かない場合に、プロセスが画面キャプチャを実施するのを阻止するように構成される。
【００２１】
動的リストは、システム２０が接続され得るデータネットワーク２８（インターネットなど）を介して受け取られた外部入力によって、更新することができる。
【００２２】
［実施例］
悪意あるプロセスと悪意ないプロセスとの区別
悪意あるプロセスの例は、最近発見されたＦＡＫＥＭ  ＲＡＴ（http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-fakem-rat.pdf）である。これは、それ自体のプロセスを使用し（「マルウェアは通常、名前tpframe.exeを使用して、％Ｓｙｓｔｅｍ％フォルダにそれ自体をコピーする」）、スクリーンショットをとることができる（「デスクトップのスナップショットをとる」）。
【００２３】
対照的に、様々なリモート管理ソフトウェア（例えばシマンテックのＰＣエニウェア（PC-Anywhere）（登録商標））は、ユーザのデスクトップのスクリーンショットをとる必要があるが、そのようなとき、（場合によっては）可視ウィンドウを有さない。
【００２４】
例示的な実施形態を使用することによって、悪意ない管理ソフトウェア（これは、そのウィンドウの少なくともいくつかが可視なので、且つ／又はホワイトリストに登録されているので、その挙動によって悪意がないと識別される）と、悪意あるプロセスとを区別することが可能である。例示的な実施形態は、上に論じたタイプの悪意ある攻撃と戦うための、単純でありながらも有効なツールを提供する。
【００２５】
上記の例及び説明は全て、例示のために提供したものであり、決して本開示を限定するものとはしない。例えば、異なるオペレーティングシステム又は異なるバージョンのオペレーティングシステムによって、プロセスがウィンドウを開くか否かを判定するための多くの異なる方法を考案することができ、これらは全て本開示の範囲を超えない。
【符号の説明】
【００２６】
２０  システム
２２  ソフトウェアエージェント
２４  ＯＳ
２６  データ記憶ユニット
２８  データネットワーク
【図１】
2014235745.tif 000003
【図２】
2014235745.tif 000004
【外国語明細書】
2014235745000001.pdf