高木浩光＠自宅の日記 - Winny媒介型ウイルスの放流元を追跡してみた, 追記

ウイルスは .zip ファイル内に潜んでいることも多いことから、拡張子偽装だけ調べてもウイルス全般の調査にはならないが、ここではひとまず拡張子偽装されたファイルについてだけ調べることにした。 まず、時刻順に並んでいるキーのダンプから、ファイル名に「 .」を含むものだけ抽出しながら、ファイルのハッシュID（Winny用語で言うところの「ハッシュ値」）毎に、そのキーを送信してきたWinnyノードを出現順にシリアル番号を振りながら転記することで、データを整理した。 たとえば、2007年1月1日に最初に観測*2した拡張子偽装ファイルのハッシュIDは「%09fdce1365df9fc28dd921faXXXXXXXX」であったが、このIDについての観測記録の冒頭は次のようになっている。「X」は伏字であり、1行目にはファイル名を記載しているがここでは省略している（「tail +2」）。

[webmarksjp]

参考

[pantingclimber]

Winny NW へのファイル放流元追跡実録. 放流頻度が高ければ高確率で突き止められることを実証. ただし頻度が低い場合, 放流者が放流後のファイルをローカルから消去してあると決定的証拠とはなりえないか？

[IGA-OS]

やる気になればここまで観測可能なのか・・・

[Nagise]

Winnyへの放流元が突き止められるという話。匿名での放流を狙ってWinnyの仕組みは作られているがその反証となる。技術的な見地から非常に興味深い

[ardarim]

ついに動いたか。低コストと思ってる人が多いようだが結構こういう地道なデータ集めは大変なんだよね。やってみないと苦労がわからないと思うが。単純にコスト換算できない苦労がある。

[adsty]

詳しい追跡記録あり。

[konaze]

追跡の可能性を実験データとともに示している。もちろん、より詳細なシステムでも立証の決め手にはならないだろうけど、捜査の指針としては十分だろうなぁ。

[napsucks]

218.228.201.103 をwikipediaで検索すると http://ja.wikipedia.org/wiki/%E7%89%B9%E5%88%A5:Contributions/218.228.201.103　こりゃ真っ黒ですね。ポート7777は全部この作者だったりして。

[mohno]

「高い精度で放流元を特定できるシステムになっているのではないだろうか」＜証拠能力があるとしたら（さらに）凄い気がする/と思ったが、証拠能力、は別に求めるべきか

[bull2]

Winnyの一次放流元は簡単に特定できる

[ultraist]

ランクつけて機械的にやっても犯人が求めれそう。ただ統計を取るにはターゲットがファイルを配るタイミングを何度かか、配るファイルの特徴を持った何ファイルかが必要。

[YUKINOBU]

できてしまうのか。すご。

[bunoum]

Winnyネットワーク内のファイル流通の様子は十分に追跡可能だという実例

[TAKESAKO]

【数十回線を数十台のコンピュータで並列稼動させ、数分でWinnyネットワークを一巡するほどの勢いで監視しているのかもしれない。そうであれば、高い精度で放流元を特定できるシステムになっているのでは】

[rev-9]

「Winnyなんだから、京都府警の言ってることはフカシだ」とか言う叫びが無意味であることがよく分かる。

[kgbu]

最初から監視が容易なようにp2pを設計しとけば、もっと楽に追跡できるかもしれない。そういうback doorはあるのかな、という興味が湧いた。

[temtan]

なんと。思ったよりも圧倒的に低コストで観測可能とは思わなかった。高度に発達した云々理論でwinnyネットワークは凄いと思わされていただけかも。

[takeshiketa]

すげー！おもしろい、これは

[sho]

ウィルスの放流元がかなり簡単に特定できるという話。でも捕まえられないのは歯がゆいねぇ。

[ukidousan]

すごい追跡。確かにこれなら10回線ぐらい用意すればかなりの精度で最初の送信者を特定できそう。