幽霊を捕まえる：メモリ上のファイルレスマルウェアと対峙する夜
深夜のSOC。画面に流れるアラートの群れを眺めながら、私はいつも同じ皮肉を噛みしめている。「ウイルス対策ソフトが最新だから安全です」と平然と言い放つベンダーの営業トークを聞くたびに、彼らはディスクという「墓場」しか見ていないのだとため息が出る。
現代の高度な脅威アクター、あるいは洗練されたレッドチームが好むのは、ディスクの肥やしになることではない。彼らが目指すのは、OSが起動した瞬間に揮発性メモリ（RAM）という名の虚空へダイブし、痕跡を残さずにシステムを内側から支配することだ。いわゆる「ファイルレスマルウェア」の領域である。
ディスクに書き込まれない以上、NTFSのタイムスタンプやMFT（マスターファイルテーブル）をいくら舐め回したところで、そこにあるのは「何も起きなかった」という美しい虚無だけだ。侵入者の足跡を掴むためには、揮発性の海へと飛び込み、生々しいプロセスの残骸やインジェクションの痕跡を直接すくい上げなければならない。
今回は、メモリフォレンジックの現場において、ファイルレスマルウェアの幽霊をどのように捕縛し、その正体を暴くのか。その低レイヤの現実と、実務で使える実践的なアプローチを深掘りしていく。
—
1. なぜファイルレス攻撃はディスクから姿を消すのか
攻撃者がファイルレスの手法に固執する理由は単純極まりない。EDR（Endpoint Detection and Response）や次世代アンチウイルス（NGAV）の静的解析、そして定期的なファイルシステムのスキャンを完全に無効化できるからだ。
彼らは多くの場合、正当なLOLBins（Living off the Land Binaries）、例えば powershell.exe、wmic.exe、mshta.exe、あるいは最近では regsvr32.exe やカスタムの反射型DLLロード（Reflective DLL Injection）を用いる。
低レイヤの挙動に目を向ければ、彼らは以下のプロセスを踏んでいる。
1. 初期侵入: フィッシングメールや脆弱性（最近ではエッジデバイスやVPNアプライアンスのRCE）を通じて、メモリ上で動的なコード実行権を獲得する。
2. インジェクション: 自身のコードを直接ディスクに落とすのではなく、正当なプロセス（explorer.exe や svchost.exe など）の仮想アドレス空間に VirtualAllocEx でメモリを確保し、WriteProcessMemory でペイロードを流し込む。
3. 実行: CreateRemoteThread やアセンブリレベルのフックを用いて、正当なプロセスのスレッドコンテキストをハイジャックし、悪性コードを非同期で実行させる。
ディスク上には、親プロセスが実行されたという「いつものログ」しか残らない。ここに、インシデントレスポンスにおける最大の難しさがある。
—
2. メモリダンプからの「幽霊」のあぶり出し
揮発性メモリ（RAM）を物理的あるいは仮想的にキャプチャ（Memory Dumping）した後のアプローチについて話そう。現場では、オープンソースの強力なフレームワークである Volatility 3 を用いるのがデファクトスタンダードだ。
しかし、ツールを叩けば自動的に「ここがマルウェアです」と教えてくれるほど、現代の攻撃者は甘くない。彼らはダイレクトシステムコールやAPIアンフッキングを駆使し、EDRやフォレンジックツールの目を欺こうとする。
ここで、メモリ上の不審な挙動を特定するための実践的なアプローチをコード（PythonベースのVolatilityスクリプトの概念、または解析用コマンド）を交えて確認する。
プロセスツリーと隠蔽プロセスの検出
まず確認すべきは、タスクマネージャーからは見えない、あるいは親プロセスが偽装された「隠しプロセス」の存在だ。
# Volatility 3を用いたプロセスの列挙と、プロセスツリーの不整合の検出
python3 vol.py -f memory_dump.raw windows.pslist
python3 vol.py -f memory_dump.raw windows.pstreeもし powershell.exe の親が wininit.exe や存在しないPIDになっている場合、それは親プロセスIDの偽装（PPID Spoofing）が行われている明白な兆候だ。
インジェクションの痕跡（VADの検証）
ファイルレスマルウェアの多くは、正当なプロセスのメモリ空間内に「隠し通路」を作る。これを見つけるには、仮想アドレス記述子（VAD: Virtual Address Descriptor）ツリーを調査し、実行権限（Page Protection）とマッピングされたファイルの不一致を暴く。
# 特定のPIDにおけるVADツリーの検証（例: 不審なsvchost.exeのPID 4122）
python3 vol.py -f memory_dump.raw windows.vadinfo --pid 4122ここで注目すべきは、ディスク上のファイルと紐付いていないにもかかわらず、PAGE_EXECUTE_READWRITE（RWX）の権限が付与されているメモリ領域だ。正規のアプリケーションが実行時にRWX領域を動的に確保することは極めて稀であり、ここにリフレクティブDLLやシェルコードが潜んでいる可能性が跳ね上がる。
—
3. 実践：メモリ上のPowerShellスクリプトブロックの復元
ファイルレス攻撃の王道であるPowerShell。攻撃者は難読化やメモリ上での文字列の暗号化を行うが、PowerShellの「Script Block Logging（Event ID 4104）」が有効であれば、メモリ内にその平文がキャッシュとして残されていることがある。
また、Volatilityを用いてメモリ上のプロセスから特定の文字列や、マネージドコード（.NET）のフックを抽出し、スクリプトの実体を復元することが可能だ。以下のPythonスニペットは、メモリダンプから特定のシグネチャや難読化解除の手がかりを探るための解析アプローチの概念を示している。
# メモリダンプから不審な文字列やスクリプトの断片を探索する解析スクリプトの概念例
import re
def search_powershell_artifacts(memory_dump_path):
"""
メモリダンプファイルからPowerShellの実行痕跡や
難読化されたスクリプトブロックの断片を検索・抽出する
"""
# 検索対象のシグネチャ（例: よく使われる難読化パターンやInvoke-Commandの断片）
target_patterns = [
rb"System\.Management\.Automation",
rb"Invoke-Expression",
rb"FromBase64String",
rb"-enc\s+[A-Za-z0-9+/=]+"
]
print(f"[-] 解析開始: {memory_dump_path}")
# 大容量ファイルを効率的にチャンク読み込みしてスキャンする実装
chunk_size = 1024 * 1024 * 64 # 64MBごとに処理
try:
with open(memory_dump_path, "rb") as f:
offset = 0
while True:
chunk = f.read(chunk_size)
if not chunk:
break
for pattern in target_patterns:
matches = re.finditer(pattern, chunk)
for match in matches:
absolute_offset = offset + match.start()
print(f"[!] ヒット検出! パターン: {pattern} at オフセット: 0x{absolute_offset:X}")
# ヒットした周辺のコンテキスト（前後256バイト）を切り出して確認
f.seek(max(0, absolute_offset - 64))
context = f.read(256)
print(f" Context: {context}\n")
offset += len(chunk)
except IOError as e:
print(f"[Error] ファイルの読み込みに失敗しました: {e}")
if __name__ == "__main__":
# 実務ではキャプチャしたRAW形式のメモリイメージパスを指定する
# search_powershell_artifacts("path_to_memory_dump.raw")
passこのアプローチは泥臭いが、EDRのログが吹き飛ばされたり、ログの転送が途絶えたりした絶望的な状況において、最後に真実を語ってくれるのは常に「生々しいメモリの断片」なのだ。
—
4. シニアアナリストからの提言：検知から「狩猟（Hunting）」へ
ファイルレスマルウェアの特定において、受け身の姿勢（アラートを待つこと）は死を意味する。攻撃者はシグネチャベースの検知をすり抜けるためのカスタムローダーを次々と開発している。
したがって、チーフホワイトハッカーやテックリードとして組織のアーキテクチャを設計するならば、以下の防衛策をインフラの根底に組み込むべきだ。
1. AMSI（Antimalware Scan Interface）の厳格な監視とバイパス検知: PowerShellやWMIがメモリ上で実行される際、AMSIが介在してコンテンツをスキャンする。攻撃者はこれを真っ先にフック解除（Unhooking）しようとするため、AMSIのDLLの整合性をリアルタイムで監視するメカニズムが必須となる。
2. EDRのユーザーモードフック監視: 高度なマルウェアは ntdll.dll のシステムコールを直接呼び出すことで、EDRのユーザーモードフックをバイパスする（Direct Syscalls）。これに対抗するため、カーネルレベルでのテレメトリ（ETW: Event Tracing for Windows）と組み合わせた多層防御を構築すること。
3. 定期的なメモリハンティングの自動化: 定期的に重要サーバーやドメインコントローラーのメモリダンプを軽量に取得し、自動化されたパイプラインでVADの異常や不審なRWX領域をスキャンする仕組みをCI/CDならぬ「IR/Huntingパイプライン」として実装する。
ディスクという幻想にとらわれているうちは、巧妙な侵入者を永遠に見逃し続けることになる。メモリという広大で揮発性の海に飛び込み、そこに刻まれたわずかな電気信号の揺らぎを捉えること――それこそが、本物のインシデントレスポンスの醍醐味である。
コメント