年末の大掃除のため（？）アンチウイルスソフトをバージョンアップしました。
フルスキャンをかけてみたら、マルウェア（いわゆるウイルス）が見つかりました。
- ウイルス対策ソフト
- intego社VirusBarrier 10.7（VirusBarrier X6からMac Premium Bundle 2013へアップグレード）
- マルウェア名
- OSX/MW2004
- 検知されたファイル1
- /Library/Application Support/GarageBand/Instrument Library/Sampler/Sampler Files/Russian Balalaika/BalalaikaG sus v3 d st n073.aif
- 検知されたファイル2
- /Library/Application Support/GarageBand/Instrument Library/Sampler/Sampler Files/Celtic Tin Whistle/TinWhistle nv n067.aif
検知されたマルウェアは、以前うちのダイアリーでも取り上げたMW2004。Microsoft Officeのインストーラーを装ったAppleScriptウイルス（Appleさんは感染力の無いトロイの木馬としていた）が発見されたと一時期話題になりましたが。ファイルの実行はしていなかったため、実害は無かったんですが。考えられる被害としては、仮に実行すると『ホーム』フォルダが見つからなくなるというもののようです。
それから、当該のファイルは双方ともに、音楽制作のため、GarageBand Jam Packの音源をMainStage 2経由で入手した時のものです。パッケージとしてはGarageBand Jam Pack World Musicに含まれています。最初にダウンロードしたとき、一部の音源がダウンロードできていなかったため、繰り返しダウンロードして追加したことがあったので、その時のファイルかなと。まあ、使う音源じゃなかったのが幸いでした。
ちょっと不思議なのは、MW2004はあくまでインストーラーを装っているとされていて、その実体はAppleScriptのはず。今回検知されたファイルはAIFF形式の音源ファイル。パッケージにもなっていなかったので、なぜこのウイルスとして検知されたのかは分かりませんでした。追記：要は、AIFF音源を装って実はAppleScript、ということのようですね。ウイルス駆除をしたらデータサイズが0バイトになりましたし。ファイルに駆除をかけた今となっては調べようがなくなってしまいましたが……。
それから怖いのが……あくまで可能性として、ですが、Appleさんが提供してくれたファイルの中に、最初からこのマルウェアが混入していた疑いがあることです……。ファイルの種類がファイルの種類だけに。単なるメールの添付ファイルなどではなかったので。P2Pは使ったこともないですし……？
とりあえずの駆除はすぐにできた*1のですが、困ったのがTime Machine対策。
Time Machine用のディスクもウイルス検知を掛けてみると、常時VirusBarrier X6をオンにしていたにもかかわらず、2012年11月16日以降のバックアップすべてで、同じファイルで何度もウイルス検知されました。その1週間前のからは検知されず。
このころ、ちょうど音楽制作にハマっていたため、やっぱりMainStage 2でのJamPack繰り返しダウンロードをやっていた時期かと思います。
時期が特定できたのは良いんですが、Time Machine内のファイルって、手動削除もウイルス対策ソフトからの削除も受け付けないんですね。
消したかったらフォーマットするしかないようです。
で、改めてTime Machineディスクを再構築する、と。面倒で時間がかかりますがそれしかない。念のため、ディスクユーティリティでゼロ消去1回のオプションを追加してフォーマット。Firewire 800の外付けHD1TBで3時間程必要なようです。
ともあれ、今回は、実害が出る前に対策できて幸いでした。
ただ、ウイルス対策ソフトの防御をすり抜けたファイルは、Time Machineにも生き残ってしまうということは盲点かもしれません。Macユーザとしては注意が必要ですね。
それから、MainStage 2またはLogic Proを使われている方は、念のため、最新のウイルス定義ファイルできちんとフルスキャンをした方がいいかもしれません。何もなかったらそれはそれで幸いですから。
2012/12/31 13:56追記
念のためMainStage 2でGarageBand Jam Pack World Musicを再ダウンロード＆インストールし、ウイルススキャンをしてみました。
BalalaikaG sus v3 d st n073.aifと、TinWhistle nv n067.aifが実データのあるファイルとしてダウンロードされたのを確認しました。
/Library/Application Support/GarageBand/Instrument Library/Sampler
のファイルをすべてウイルススキャンし、問題は見つかりませんでした。
ということで、どうして混入したのかは不明なままですが……とりあえず本件は終了しておきます。
