メモリに潜む「透明人間」を捕まえろ！ファイルレスマルウェアの正体に迫る
こんにちは。日々、サイバー空間の泥沼でインシデントと格闘しているDFIRアナリストです。
さて、皆さんは「ファイルレスマルウェア」という言葉を聞いたことはありますか？名前の通り、ハードディスク上に「悪意あるファイル」を残さない、非常に厄介な攻撃者です。
「ファイルがないなら、どうやって感染するの？」と不思議に思いますよね。今日は、彼らがどのようにコンピュータの「メモリ（作業台）」という特等席を乗っ取っているのか、そしてどうやって彼らを捕獲して解析すればいいのかを、家の防犯に例えて紐解いていきましょう。
—
1. ファイルレスマルウェアは「合鍵で入る泥棒」
一般的なウイルスは、わざわざ玄関（ハードディスク）に「怪しい荷物（exeファイル）」を置いていくので、ウイルス対策ソフトに見つかりやすいんです。
一方、ファイルレスマルウェアは少し違います。
彼らは家の中に既にある「便利な道具（Windowsの標準機能など）」を悪用します。玄関に怪しい荷物を置くのではなく、住人が普段使っている鍵をこっそりコピーして、作業台（メモリ）の上で直接「悪だくみ」を始めるのです。
ハードディスクをどんなに調べても、怪しいファイルは見つかりません。彼らは常に「メモリ」という、電源を切れば消えてしまう不安定な場所で息を潜めているからです。
—
2. 泥棒を捕まえる：メモリダンプという「写真撮影」
彼らを捕まえるには、メモリという作業台を丸ごとコピーする「メモリダンプ」という技術を使います。メモリは常に書き換わっているので、現場検証をするために、その瞬間の状態をパシャリと写真に撮るようなイメージですね。
ここで登場するのが、業界標準ツール「Volatility」です。これを使うと、メモリ上に展開された怪しいコードを抽出できます。
Volatilityでプロセスを特定する
まずは、どのプロセスが「泥棒の作業場」になっているかを探します。
# 実行中のプロセス一覧を表示して、怪しいものがないかチェックします
python vol.py -f memory.dmp windows.pslistここで「あれ、このプロセス、普段は見かけない動きをしているぞ？」というものが見つかったら、それが今回のターゲットです。
—
3. 「透明人間」を実体化させる：PEファイルの再構築
メモリの中に隠れていたコードは、そのままではバラバラの断片です。これを解析ツール（IDA ProやGhidra）で読める形に戻す必要があります。いわば、散らばったパズルのピースを繋ぎ合わせて、元の姿を復元する作業です。
メモリからバイナリを抽出する際は、procdump プラグインが便利です。
# 特定のプロセスID(PID: 1234)から実行可能ファイルを抽出する
python vol.py -f memory.dmp windows.procdump --pid 1234 --dump-dir ./outputこれで、ハードディスク上には存在しなかった「悪意ある実行ファイル（PEファイル）」が手元にやってきます。
—
4. なぜ解析するのか？：次の攻撃を防ぐ「予防接種」
抽出したバイナリを「Ghidra」などの解析ツールに読み込ませると、彼らが何をしたかったのかが分かります。「どこかのサーバーにパスワードを送ろうとしていた」「システムのバックドアを開けていた」といった動機が分かれば、次からは同じ手口に引っかからないための「予防接種（セキュリティ対策）」が打てますよね。
解析時のポイント
- 文字列検索: バイナリの中に
httpやpowershell、cmd.exeなどの文字がないか探してみましょう。攻撃者の通信先が隠れていることが多いです。 - APIの呼び出し: プログラムが「どの機能を呼び出そうとしているか」を見ることで、彼らの目的（ファイルを盗むのか、キー入力を記録するのか）がはっきりします。
—
最後に：怖がる必要はありません
ファイルレスマルウェアは、確かに強力で厄介な存在です。しかし、どれほど巧妙に隠れていても、彼らは「メモリ上で動く」という物理的な制約からは逃れられません。
「怪しい動きがあったら、すぐにメモリを確保する」。この一歩があるだけで、皆さんの防御力は格段に向上します。
セキュリティは、魔法のような特別な技術ではありません。一つずつ、現場の断片を拾い集め、論理的に紐解いていく探偵のような作業です。ぜひ皆さんも、この「メモリの奥底を覗く」という冒険を楽しんでみてくださいね！
また次の記事で、より深い解析の世界でお会いしましょう。
コメント