【入門編】メモリ上のファイルレスマルウェアの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリに潜む「透明人間」を追い詰めろ！ファイルレス攻撃との戦い方

こんにちは！SOC（セキュリティオペレーションセンター）で日々、攻撃者と知恵比べをしているアナリストです。

さて、皆さんは「泥棒」と聞くとどんな姿を想像しますか？おそらく、窓を割って侵入し、バッグに金品を詰め込んで持ち去る姿を思い浮かべるでしょう。しかし、今のサイバー攻撃の世界には、「そもそも何も盗まず、何も持ち込まず、その場の空気だけを操って悪さをする透明人間」のような存在がいます。

それが「ファイルレスマルウェア」です。今日は、彼らがどうやってあなたのPCの隙を突いているのか、そしてどうやってその「気配」を捕まえるのかを、専門知識ゼロからでもわかるように解説していきますね。

—

1. ファイルレスマルウェアって何？「泥棒」に例えてみよう

普段のウイルス対策ソフトは、「怪しい箱（ファイル）」が届いていないかをチェックする門番のようなものです。しかし、ファイルレス攻撃は違います。

彼らは、あなたの家のリビングにある「ホワイトボード」や「付箋」を勝手に書き換えて、そこに書かれた命令をあなたが読み上げることで実行させます。

通常のマルウェア： 家の中に怪しい箱（ウイルス）を隠す。
ファイルレス攻撃： リビングのホワイトボード（メモリ）に「窓を開けろ」と書き、あなたがたまたまそれを見て「あ、窓を開けなきゃ」と実行してしまう。

実行が終われば、ホワイトボードの文字は消されてしまいます。後から警察（フォレンジック調査員）が来ても、そこには何も残っていない……これがファイルレス攻撃の恐ろしさです。

—

2. なぜ「メモリ」が狙われるのか？

PCの「メモリ（RAM）」は、作業机のようなものです。今まさに開いているプログラムや、入力中のデータが一時的に置かれています。

攻撃者は、この机の上でこっそり動きます。特に狙われるのが PowerShell や WMI といった、Windowsが管理用に標準で持っている強力な道具です。これらを悪用されると、セキュリティソフトも「いつも通り管理者が作業しているだけかな？」と勘違いして、見逃してしまうことがあるんです。

—

3. 「透明人間」の足跡をメモリダンプから探す

では、どうやってこの「透明人間」を捕まえるのでしょうか。答えは「メモリダンプ（作業机の全記録を写真に撮る）」です。

攻撃が実行されている瞬間にメモリの中身を丸ごと抜き出し、その中から「本来あるはずのない文字列」や「怪しいコード」を探し出します。

実践：怪しいプロセスを見つけるヒント

例えば、PowerShellがやたらと長いコマンドを隠し持っていないかを確認するコマンド例を挙げます。

# PowerShellの実行履歴やプロセスを監視する際の一例です
# 攻撃者はよく -enc (エンコード) オプションを使って内容を隠します
Get-WmiObject Win32_Process | Select-Object CommandLine | Where-Object { $_.CommandLine -like "* -enc *" }

# 日本語解説：
# -enc は「Base64」という形式で暗号化（難読化）されたコマンドを読み込ませるオプションです。
# 正常な管理作業で使うことは稀なので、これが出てきたら要注意！

—

4. 対策の第一歩：まずは「ログ」を味方にしよう

メモリフォレンジックは高度な技術ですが、その前段階として「誰が何を命令したか」を記録しておくことが最も大切です。家の防犯カメラと同じですね。

以下の設定をWindowsで行うだけで、攻撃者の足跡が格段に残しやすくなります。

1. PowerShellのスクリプトブロックログを有効化する

これを設定すると、どんなに複雑に隠されたコマンドでも、実行される「直前」の素顔（デコードされた内容）がイベントログに記録されます。
設定場所：グループポリシーの [管理用テンプレート] > [Windows コンポーネント] > [Windows PowerShell] から「PowerShell スクリプトブロックのログを有効にする」をオンにします。

—

5. 最後に：恐れることはありません

「メモリの中身を調べるなんて難しそう…」と感じたかもしれませんね。でも、まずは「今、自分のPCで何が動いているかを知ろうとする姿勢」を持つだけで、セキュリティレベルは劇的に向上します。

攻撃者は「見えないこと」を最大の武器にしています。だからこそ、私たちが少しでも彼らの気配に気づき、「おや、このプロセスは普段と違うな？」と疑問を持つだけで、彼らは計画を遂行できなくなります。

セキュリティは、完璧な壁を築くことよりも、「家の中の異変にいち早く気づく感性」を養うことの方が、ずっと現実的で効果的です。

また次回の記事では、実際にメモリダンプからマルウェアの断片を抽出するツール Volatility の使い方についても深掘りしていきますね。一歩ずつ、一緒に強くなっていきましょう！