【入門編】メモリダンプからの暗号化キー抽出と復号化プロセス – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリの中に「鍵」が落ちている？ランサムウェアからデータを奪還するためのフォレンジック入門

こんにちは！SOCアナリストの現場から、今日は少しスリリングで、かつ実務に役立つお話をします。

皆さんは、家を留守にするとき、玄関の鍵をかけますよね。でも、その「鍵」を玄関のマットの下に置いて出かけてしまったらどうなるでしょうか？……そう、泥棒は鍵さえ見つければ、いとも簡単に侵入できてしまいます。

実は、サイバー攻撃の世界でも同じことが起きています。ランサムウェアなどの悪意あるプログラムが、あなたのPCの大切なデータを暗号化するとき、その「暗号を解くための鍵」を、メモリ（RAM）という名の「玄関マットの下」に置き忘れていくことがあるのです。

今日は、そんなメモリの中に隠された「鍵」を見つけ出し、暗号化されたデータを取り戻すための、ちょっと高度でエキサイティングな「メモリフォレンジック」の世界を一緒に覗いてみましょう！

—

1. なぜ「メモリ」を見る必要があるの？

プログラムが動くとき、その中身は常にメモリ（作業机のような場所）に展開されています。たとえハードディスク上でファイルをガチガチに暗号化していても、プログラムがその暗号を操作している瞬間、メモリ上には暗号化される前のデータや、暗号を解くための「鍵」が「平文（そのまま読める状態）」で存在しているのです。

犯人が逃げた直後の部屋を調べるように、PCの電源が切れる前のメモリの状態を「ダンプ（丸ごとコピー）」として保存し、解析するのがメモリフォレンジックの醍醐味です。

—

2. Volatilityで「泥棒の置き土産」を探す

メモリ解析のデファクトスタンダードである「Volatility」というツールを使えば、このメモリの中身をレントゲン撮影するように調べることができます。

特に強力なのが yarascan という機能です。これは、特定の「鍵っぽいデータパターン」をメモリ全体から探し出すツールです。

鍵を探すための「YARAルール」の書き方

例えば、AESという暗号方式で使われる鍵のパターンを探すためのルールは、以下のように書きます。

// AESの鍵っぽいデータ構造を探すためのシンプルなルール
rule Find_AES_Key {
    strings:
        // AESの鍵は特定のバイナリパターンを持つことが多いです
        $aes_key = { 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F 10 }
    condition:
        $aes_key
}

このルールを key_search.yar として保存し、Volatilityで実行してみましょう。

# メモリダンプファイル(memdump.raw)から鍵を探すコマンド例
python3 vol.py -f memdump.raw windows.vadyarascan --yara-rules key_search.yar

このように実行すると、メモリのどこにその「鍵」があるのか、アドレス（住所）を教えてくれます。

—

3. 見つけた鍵でデータを復号する

鍵が見つかったら、あとはそれを使って暗号化されたファイルを元に戻すだけです。もちろん、現場ではもっと複雑な計算が必要ですが、考え方は「金庫の番号がわかったので開ける」のと同じです。

Pythonでの復号化イメージ

もしAES暗号の鍵（Key）と初期化ベクトル（IV）が見つかったなら、Pythonの cryptography ライブラリで簡単に復号を試すことができます。

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes

# メモリから抽出した鍵とIV（仮定）
key = b'抽出した16バイトまたは32バイトの鍵'
iv = b'抽出した16バイトのIV'

# 暗号化されたファイル（ランサムウェアでロックされたもの）を読み込む
with open('locked_file.enc', 'rb') as f:
    ciphertext = f.read()

# 復号化のセットアップ
cipher = Cipher(algorithms.AES(key), modes.CBC(iv))
decryptor = cipher.decryptor()

# 復号実行
decrypted_data = decryptor.update(ciphertext) + decryptor.finalize()

# 元のファイルに書き出す
with open('recovered_file.txt', 'wb') as f:
    f.write(decrypted_data)

—

一歩ずつ対策を学んでいきましょう！

「メモリをダンプするなんて難しそう……」と感じるかもしれません。でも大丈夫です。まずは、PCのトラブルが起きたとき、すぐ電源を落とさずに「今、何が起きているのか？」を考える癖をつけることが、第一歩です。

シャットダウンは最終手段： 電源を切ると、メモリ上の貴重な証拠（鍵など）が消えてしまいます。
ライブレスポンスの活用： 最近では、PCを起動したままメモリ情報を取得するツールもたくさんあります。

攻撃者は日々進化していますが、彼らが「鍵をマットの下に隠す（メモリに保持する）」という習性を持っている限り、私たちDFIRの専門家は必ず彼らの足跡を追うことができます。

技術は難解に見えるかもしれませんが、一つひとつ噛み砕けば、それはセキュリティという名の「家の防犯」を強化するための強力な武器になります。これからも一緒に、安全なデジタルライフを守るための知識を深めていきましょうね！

—
*次回の記事では、メモリダンプ取得時の注意点と、犯人の通信を覗き見する方法について詳しく解説します。お楽しみに！*