【入門編】ファイルレスマルウェアのメモリ内実行検知とペイロード抽出 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

ファイルレスマルウェアの「影」を暴く！メモリフォレンジックで泥棒の痕跡を掴む方法

皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、最近ますます巧妙化している「ファイルレスマルウェア」という、ちょっと厄介な敵にどう立ち向かうか、というお話をしたいと思います。特に、メモリフォレンジックという、まるで探偵のようにコンピューターの「記憶」を調べる技術に焦点を当てて、ファイルレスマルウェアがどうやって忍び込み、どうやって見つけ出すのかを、身近な例え話を交えながら、優しく解説していきますね。

そもそも「ファイルレスマルウェア」って、何がそんなに厄介なの？

「ファイルレス」と聞くと、「ファイルがないマルウェア？どうやって感染するの？」って思いますよね。まさにそこが、このマルウェアの狡猾なところなんです。

例えるなら、普通の泥棒は「バールでドアをこじ開ける」「窓ガラスを割る」といった、目に見える「証拠」（＝ファイル）を残していきます。でも、ファイルレスマルウェアは、そういった「物理的な道具」（＝ファイル）を直接使わないんです。

彼らが使うのは、もっと巧妙な手口。「家に侵入する」のではなく、すでに家の中にいる「住人」（＝正規のプログラム）を操ったり、家の「設計図」（＝メモリ空間）を書き換えたりして、悪事を働くんです。

具体的には、

Reflective DLL Injection（リフレクティブDLLインジェクション）: 泥棒が、大家さん（＝正規のプログラム）になりすまして、大家さんの荷物（＝DLLファイル）を勝手に改造し、その中身をこっそりすり替えてしまうイメージです。表向きは大家さんですが、中身は泥棒の指示に従って動くようになっています。
Process Hollowing（プロセスホローイング）: これは、泥棒が「空っぽの部屋」（＝新しく作成された正規のプロセス）を用意して、そこに「こっそり忍び込み」、その部屋を乗っ取ってしまうイメージです。部屋自体は「空っぽ」なので、一見何も問題がなさそうに見えるんです。

これらの手口で、マルウェアはディスクにファイルとして痕跡を残さずに、コンピューターの「記憶」であるメモリ上で直接活動します。これだと、普通のウイルス対策ソフトでは見つけにくい、まさに「影」のような存在になるわけです。

「メモリフォレンジック」で、泥棒の「幻影」を捕まえる！

では、この「影」のようなファイルレスマルウェアをどうやって見つけるのか。ここで登場するのが、「メモリフォレンジック」という技術です。

メモリフォレンジックは、コンピューターが「今、考えていること」「作業していること」が記録されている「作業机の上の書類」（＝メモリ）を調べることで、不正な活動の痕跡を探す技術です。

例えるなら、泥棒が家に侵入したとしても、窓ガラスを割ったりドアを壊したりしなくても、家の中の「作業机の上の書類」が乱れていたり、普段置かれていない奇妙なメモが挟まっていたりすれば、「何かおかしいぞ？」と気づけますよね。メモリフォレンジックは、まさにこの「作業机の上の書類」を徹底的に調べる作業なんです。

特に、ファイルレスマルウェアの検知で重要になるのが、「VAD（Virtual Address Descriptor）ツリー」というものを見る方法です。

VADツリーって、一体何？

VADツリーは、コンピューターのメモリ空間が、どのプログラムに、どのくらいの広さで、どんな用途で使われているかを管理するための「地図」のようなものです。

家の「間取り図」に例えると分かりやすいかもしれません。

部屋（＝メモリ領域）: コンピューターのメモリには、たくさんの「部屋」があります。
誰が使っているか（＝プロセス）: 各部屋は、特定のプログラム（プロセス）によって使われています。
どんな用途か（＝メモリ保護属性）: その部屋で、どんな作業（読み込みだけ、書き込みもOKなど）ができるかが決まっています。

VADツリーは、この「間取り図」を整理して、どの部屋が誰によって、どのように使われているかを記録しています。

悪意あるコードがVADツリーに「不審な部屋」を作る

ファイルレスマルウェアは、このVADツリーの「間取り図」を書き換えて、自分たちの悪意あるコードを隠したり、正規のプログラムになりすましたりします。

例えば、Reflective DLL InjectionやProcess Hollowingといった手口では、

正規のプログラムの「部屋」を勝手に改造する
本来存在しないはずの「隠し部屋」を作る
「部屋」の用途を不正に書き換える（例えば、本来書き込みができないはずの部屋に書き込めるようにする）

といったことをします。

VADツリーを解析することで、この「不審な部屋」や「改造された部屋」を見つけ出し、そこに隠された悪意あるコードの片鱗を掴むことができるんです。まるで、間取り図に「この部屋は普段使われていないはずなのに、奇妙な改造がされているぞ！」と気づくようなものです。

実際に「影」を追ってみよう！ Volatility3を使ったメモリフォレンジック

では、具体的にどうやってVADツリーを調べるのでしょうか？ここでは、メモリフォレンジックでよく使われるツールの一つ、Volatility3を使った基本的なアプローチをご紹介します。Volatility3は、メモリダンプ（コンピューターのメモリ状態を丸ごと保存したもの）から様々な情報を引き出すことができる強力なツールです。

まず、調査対象のコンピューターからメモリダンプを取得する必要があります。これは、専門的なツールや手法を使う必要があるため、ここでは割愛しますが、もし実務でメモリダンプを取得する機会があれば、そのデータに対して以下のコマンドを実行してみてください。

VADツリーを調べるコマンド

# Volatility3をインストールしているディレクトリに移動
cd /path/to/volatility3

# メモリダンプファイルとプロファイル（OSの種類など）を指定して、vadツリーを調べるコマンド
# 例: linux_mem.vmem はメモリダンプファイル名、linux.20220101 はOSのプロファイル名（環境に合わせて変更）
python3 volatility -f /path/to/your/memory.dmp --profile=your_os_profile.20230101 linux.vad

\[解説\]

python3 volatility: Volatility3を実行するためのコマンドです。
-f /path/to/your/memory.dmp: 調べたいメモリダンプファイルの場所を指定します。memory.dmp の部分は、実際のファイル名に置き換えてくださいね。
--profile=your_os_profile.20230101: メモリダンプが取得されたOSの種類やバージョンを指定します。これにより、Volatility3はメモリの構造を正しく理解できます。ここも、実際のOS情報に合わせて適切なプロファイル名に変更してください。
linux.vad (あるいは windows.vad): VADツリーの情報を表示するためのプラグインです。Linuxの場合は linux.vad、Windowsの場合は windows.vad を指定します。

このコマンドを実行すると、メモリ内の各領域（部屋）の情報が表示されます。これには、どのプロセスがどのメモリ領域を使っているか、その領域の属性（保護設定など）が詳細に記録されています。

\[重要\]

プロファイル (--profile) の正確な指定が不可欠です。 間違ったプロファイルを指定すると、正しい情報が得られません。
LinuxとWindowsでは、コマンドやプロファイル名が異なります。 ご自身の環境に合わせて適切なものを指定してください。

VADツリーの出力結果から「怪しい」ものを探す

VADツリーの出力結果は、最初はちょっと戸惑うかもしれません。たくさんの情報が並んでいるからです。でも、ここで探すべきは、以下のような「普段と違う」特徴を持つメモリ領域です。

正規のプロセスが、本来持たないはずのメモリ領域を持っている
「PAGE\_EXECUTE\_READWRITE」のような、書き込みと実行が同時に許可されている（通常はセキュリティ上、あまり使われない設定）メモリ領域が、不自然な形で存在している
メモリ領域のサイズが、想定よりも極端に大きかったり小さかったりする
プロセスツリー上で、親プロセスと全く関係のないメモリ領域を子プロセスが持っている

これらの「怪しい」兆候が見つかったら、それはファイルレスマルウェアが潜んでいる可能性が高いサインです。

ペイロード（悪意あるコード）の抽出

さらに一歩進んで、もし怪しいメモリ領域が見つかったら、そこからマルウェアの「本体」、つまり「ペイロード」を抽出できる可能性があります。

Volatility3には、メモリダンプから実行ファイルやDLLなどを抽出するプラグインが用意されています。怪しいメモリ領域の情報を元に、その領域を特定し、抽出を試みるのです。

# 怪しいプロセスID (PID) とメモリ領域のアドレス範囲を指定して、その領域をダンプする例
# 例:PIDが 1234 で、怪しいメモリ領域が 0x7ffc12340000 から 0x7ffc56780000 までの場合
# ここでも、OSプロファイルは正確に指定してください。
python3 volatility -f /path/to/your/memory.dmp --profile=your_os_profile.20230101 windows.memmap --pid 1234 --offset 0x7ffc12340000 --size 0x44440000 -O suspicious_payload.bin

\[解説\]

windows.memmap: メモリマップを表示するプラグインですが、このプラグインのオプションを使って特定の領域をダンプできます。
--pid 1234: 対象となるプロセスのIDを指定します。
--offset 0x7ffc12340000: 抽出したいメモリ領域の開始アドレスを指定します。
--size 0x44440000: 抽出したいメモリ領域のサイズを指定します。このサイズは、VADツリーの情報から計算する必要があります。（開始アドレスと終了アドレスの差分）
-O suspicious_payload.bin: 抽出したデータを保存するファイル名を指定します。suspicious_payload.bin の部分で、好きなファイル名に変更してください。

このコマンドで抽出された suspicious_payload.bin というファイルには、怪しいコードが含まれている可能性があります。このファイルをさらに解析することで、マルウェアの正体や目的を特定していくことができます。

\[注意点\]

抽出したファイルは、そのまま実行すると非常に危険です。必ず、安全な環境（隔離された仮想マシンなど）で、専門的なツールを使って解析してください。
ペイロードの抽出は、常に成功するとは限りません。マルウェアによっては、検出を回避するために巧妙な工夫がされている場合もあります。

まとめ：一人ひとりが「家の番人」になるために

ファイルレスマルウェアは、ディスクにファイルとして残らないため、見つけにくい厄介な存在です。しかし、メモリフォレンジックという強力な武器を使えば、コンピューターの「記憶」を調べることで、彼らが残した「幻影」や「痕跡」を掴むことができます。

今回ご紹介したVADツリーの解析やVolatility3を使ったアプローチは、まさにその第一歩です。最初は難しく感じるかもしれませんが、一つずつコマンドの意味を理解し、出力結果を丁寧に見ていくことで、必ず「怪しい」兆候を見抜けるようになります。

セキュリティの世界は、常に進化し続けています。新しい攻撃手法が登場すれば、それに対抗するための新しい防御策が生まれます。私たちIT担当者や開発者は、常に最新の情報を学び、一人ひとりが「家の番人」のように、自分の担当するシステムを守る意識を持つことが大切です。

このブログが、皆さんがファイルレスマルウェアという敵に立ち向かうための一助となれば幸いです。一緒に、より安全なデジタル環境を目指していきましょう！