しゃお

D君

右クリックから簡単にできるよ。

しゃお

OK！さっそくやってみるよ。

通常のVirusTotalハッシュ検索

しゃお

以前までのハッシュ検索手順

ハッシュコピー方法１：ハッシュタブ導入済の場合

下記のように右クリックから簡単にハッシュのコピーができます。

• ハッシュを調べたいファイルを右クリック > プロパティ
• 「SHA-256をクリック > ctrl + c」or「SHA-256を右クリック > コピー」

ハッシュコピー方法２：コマンドプロンプトの場合

コマンドプロンプトを立ち上げ、下記コマンドを入力

certutil -hashfile 調査したいファイルのフルパス sha256

コマンドプロンプト上に出力されたハッシュをコピー

ハッシュコピー方法３：PowerShellの場合

PowerShellを立ち上げ、下記コマンドを入力

Get-FileHash 調査したいファイルのフルパス

VirusTotalでハッシュ検索

VirusTotalへアクセス

「Search」をクリック > 赤枠内にさきほどコピーしたハッシュ貼付け > Enter

スキャン結果：怪しい or 危険と判定された数が0

怪しい or 危険と判定された数／総判定数が「0 / 73」なので、安全なファイルだと分かります。

右クリックからVirusTotal簡単ハッシュ検索

こちらの方法では、調査したいファイルを「右クリック > Check File Hash」するだけで、簡単にVirusTotalからハッシュ検索結果を取得することができます。

ツールのダウンロード＆インストール、設定方法詳細はこちら

VirusTotalとは？

ハッシュ・Hash値とは？

D君

かんたんにいうと

多種多様なデータを、ハッシュ関数で唯一無二の「Hash値」に置き換えたもの

※ハッシュ（Hash）＝ハッシュ（Hash）値と考えてOK

※ハッシュ関数：データを不可逆変換して、固定長の値に変換する関数

→元データが同じなら、必ず同じハッシュ（Hash）値となる！

VirusTotalへファイルをアップロードしてチェックする？

ファイルのアップロードは、絶対におすすめしません。

VirusTotalへのファイルアップロードの危険性について

上記のフリーソフトは、ファイルをVirusTotalにアップロードしてチェックしています。

しかし、VirusTotalにアップロードされたファイルは

• 有料会員であれば、だれでもダウンロードが可能
  →第三者がファイルを取得し、情報漏えいに繋がる危険性とありますが、「有料会員であれば、だれでもダウンロードが可能」な時点で、既に情報漏えいしたのと変わりません。

引用：【注意喚起】VirusTotal へのアップロードによる情報漏洩について – 情報連携推進本部（名古屋大学）

特に

• 個人情報の入ったファイル
• 会社の機密情報が記載されているファイル

については、アップロードは厳禁です！

参考：VirusTotalへアップロードされる機微情報 – セキュリティ研究センターブログ

こちらには、日本国内から社外秘に相当するファイルのアップロードや、アップロードしたファイルが実際に開かれるかのテストが行われています。

大事なことなので２回言いますが、VirusTotalへのファイルのアップロードは、絶対におすすめしません。

ファイルダウンロード時にURLを自動チェックする拡張機能もあるが

ブラウザの拡張機能で、ファイルをダウンロードしたときに、自動でURLをVirusTotalでチェックする方法もありますが、推奨しません。

なぜかというと、チェックしたURLが問題なくとも、ダウンロードしたファイルが絶対に安全とは言えないからです。

D君

例をあげると

信頼度が高い＆今まで無害だったアプリに急にマルウェアを仕込まれた場合

• ６日のバージョンアップでファイルにマルウェアが仕込まれる
• VirusTotalで検査するURLは、５日も６日も変わらない
• ６日時点で、VirusTotalのURL検索（https://test.com）の情報（セキュリティベンダーのウイルススキャンエンジン）が更新されているかは不明

セキュリティを意識するなら、ハッシュ検索がおすすめ！

• ファイルのアップロードはダメ
• URLの自動チェックは推奨しない（ダメとは言っていない）

となると、どうすれば良いのか？

→ファイルの「ハッシュ（Hash）検索」を行いましょう。

一致するものが見つからないときは、こんな感じで表示される。

しゃお

いよいよ右クリックからのハッシュ検索だね！

右クリックからVirusTotal簡単ハッシュ検索 – 詳細

【準備１】VirusTotalに無料登録

VirusTotalへアクセス

画面右上の「Sign up」をクリック

• 名・氏・メールアドレス・ユーザ名・パスワード・パスワード再入力欄にそれぞれ入力
• 「VirusTotalの利用規約とプライバシーポリシーを読み、同意します」にチェックし、「Join us」をクリック

すると、すぐにVirusTotalからメールが届くので

「Welcome to VirusTotal Community. In order to activate your account please
follow this link:」の下にあるURLをクリックで、登録完了

【準備２】VirusTotalにサインインして、API keyを取得

今度は登録ではなく、サインインしたいので「Sign In」をクリック

登録時に入力したメールアドレス・パスワードを再度入力し、「Sign In」をクリック

右上のユーザ名をクリックするとリストが表示されるので、「API key」をクリック

黒く塗りつぶしたところにAPI keyが表示されます。

【準備３】VT Hash Checkのダウンロード＆インストール

VT Hash Checkのダウンロード – freesoft100

VT Hash Checkのダウンロード – ｋ本的に無料ソフト

上記のどちらか好きな方から「VT Hash Check」をダウンロード

「VT.Hash.zip」がダウンロードされるので、解凍後、VT.Hashフォルダ内の「setup.exe」を実行

「I accept the agreement(ライセンスに同意)」にチェックし、「Next」×２クリック

インストール先はそのままで、「Next」> 「Install」をクリック

「Finish」でインストールは完了

※画像だとデフォルトインストール先が小さくて見づらいので、載せておきます。
　→C:\Program Files (x86)\Boredom Software\VT Hash Check

【準備４】VT Hash CheckにAPI keyの導入

VT Hash Checkをインストールしたフォルダを開き、「VTHash.exe」を実行

「このアプリケーションはAPI keyが必須です。設定ウィンドウを開いて、今すぐキーを入力しますか？」と質問されるので、「はい」をクリック

API keyを入力し、「赤×(バツ)」から「緑✓(チェック)」に変われば、正しいAPI keyが入力されたという認識でOK

ここで注意ですが、しれっと「Permit file upload（ファイルのアップロード許可）」にチェックが入っているので、外しておきます。

しゃお

チェックを外しても正常動作することを確認済だよ。

あとは「OK」をクリックで、VT Hash CheckへのAPI key導入は完了

【実践】右クリックからVT Hash Checkでファイルのハッシュをチェック

試しに「VTHash.exe」を右クリックし、「Check File Hash」をクリック

結果（Virus Total Report）の見方として

• １番上にスキャンの簡易結果として、「怪しい or 危険と判定した数 of 総スキャン数」を表示
  今回は、「1 of 69 found threats;Last Scan:スキャン日時」と表示されています。
• その下にスキャナーのバージョンと結果詳細がずらりと表示
  ※スキャナー：スキャンエンジンやセキュリティ対策ソフトと考えればOK

D君

0 of 総スキャン数なら、もちろん安全なファイル

これは、VirusTotalに登録してあるスキャンエンジンのうち

• 69のスキャンエンジンで、同一ハッシュの登録があり
• そのうちの１つで怪しい or 危険と判定

されたことを示します。

結果（Virus Total Report）の判定詳細を見てみると

• スキャナー：VBA32
• バージョン：4.4.1
• 結果　　　：BScope.Trojan.Packed

バージョンはどうでも良いとして、「VBA32」というスキャンエンジンで引っかかっています。

今回のように、引っかかった判定数が少ないときは自己判断が必要です。

結果として、実行しても問題ないと自己判断しました。

• 「VBA32」はマイナーなスキャンエンジンなので、今回は無視してOKと判断
• 「BScope.Trojan.Packed」を調べてみると、「感染がアクティブな場合、タスクマネージャリストに不要なプロセスが表示されることがある」ようですが、不審なプロセスは見当たりませんでした。

VirusTotalで怪しい or 危険と判定されたスキャン結果に対する考え方

毎回

• VirusTotalでスキャンした結果が「0 / 総スキャン数」
• VT Hash Checkの結果（Virus Total Report）が「0 of 総スキャン数」

と、怪しい or 危険と判定される数が「0」ならば、全く問題ありません。

しかし、安全なファイルでもスキャンエンジンにより「1～3」程度は引っかかることがよくあるため、あくまで私の場合ですが、下記のようなルールを作って、ファイルを実行するかしないか自己判断しています。

まとめ

今回は、ちょうど運良く（悪く？）引っかかったので、スキャン結果に対する考えまで記載しました。

自己判断の方法や考え方は、人によって全く異なりますが、判断の仕方が全く分からないといった方には少しは参考になるかと思います。

「ハッカー」などというプロフェッショナルな悪人もいますが、「フィッシング」や「ワンクリック詐欺」など、そういった類の言葉は聞いたことがありますよね？

LINEの乗っ取りは結構身近でやられている人を見たことがありますし、フィッシングメールは日常茶飯事だったりします。

簡単にやられてしまうこの時代に生きているからこそ、少しずつでもセキュリティ意識を高めていきましょう！

時代は、「ハッシュタグよりもハッシュ（Hash）検索」ですよ！ｗ

現場からは以上です！

ではまた(#｀･ω･´*)/