エフセキュアラボでは、自動化したサンプル分析を実行する、多数のシステムの設計、構築を行い、利用している。

 　そのオートメーションの一部が、さまざまなキーワードで怪しいコードをモニタする。何故キーワードでモニタするのか？　マルウェアの作者には、コードに隠れメッセージをひそませるのが好きな者がいるからだ。

 　例えば、「Virus:W32/Divvi」は「Mikko cut ur ponytail」というストリングを含んでいる。明らかに我らがミッコ・ヒッポネンを指している。

 　多くのマルウェア作者も、「チャック・ノリス」といった語を使用し、自分達のコードにポップカルチャーへのリファレンスを含ませている。

 　我々はデビット・ハッセルホフをテーマにしたリモート管理ツール（RAT）に出くわしたことさえあった。



 　「Fraud-News.com」が先頃ハッキングされ、ミッコとBrian Krebsがクレジットカード詐欺で逮捕されたという、偽記事が掲載された。



 　当然、我々は到着するサンプルを「Krebs」というキーワードでモニタし始めた。

 　そして何かを発見するのに、それほど長い時間はかからなかった。

 　「Trojan-Downloader:W32/Agent.DTBM (SHA-1: 20dba9e7730094341f327194f67b43bd751dd9cf) 」は、以下のミューテックスを作成している：

DANCHODANCHEV_AND_BRIANKREBS_GOT_MARRIED

 　うーん、アナリストでZDNet.comブロガーのDancho Danchevを、我々のウォッチリストに追加した方が良さそうだ…

 　このトロイの木馬はイン・ザ・ワイルドだが、それほど行き渡ってはいない。エフセキュアのアンチウイルスは、シグネチャ検出を追加する前でも、挙動のヒューリスティックに基づいてこれをブロックする。

 　Threat Responseチームによるさらなる分析によれば、同トロイの木馬はfatgirlsloveme.com（whois）に接続しようとする。このサイト/サーバは、2日前にはオンラインではなかったが、プロキシは現在、アクティブであるようだ（ドイツでホスティングされている）。

 　我々は分析を継続する。

 　「油断のない集中した」オートメーションも。