Unicode制御文字でファイル名を偽装するウイルス「RLTrap」

　IPA（独立行政法人情報処理推進機構）は11月4日、2011年10月分の「ウイルス・不正アクセス届出状況について」で、RLTrapウイルスの大量検出（9月に約5万件）について警告を促した。

　RLTrapウイルスは、拡張子を含めたファイル名を偽装することでパソコンの利用者をだまし、悪意のあるプログラムを実行させる。手法としては新しいものではなく、2006年には確認されていた。

　Unicodeは世界中の言語を単一の文字コードで扱う仕組みで、アラビア語などの表示ために横書きの文字を右から左へ並べる制御文字としてRLO（Right-to-Left Override）が用意されている。この制御文字自体は画面には表示されないが、文字冒頭に指定すると文字の並びが逆転するので偽装に悪用できる。例えば、「ABCDEF.doc」というこのファイル名の先頭にRLOを挿入すると、表示は「cod.FEDCBA」に変わる。

　対策には、セキュリティソフトの利用もあるが、RLOで文字の並びを変更させないようにすることも薦められている。Windowsであればローカルセキュリティポリシーの「RLO Start of right-to-left override」で設定可能だ。手順はIPAの該当ページでも説明されている。