カーネルの深淵を覗く：SSDT/IDTフックによる隠蔽工作を暴くメモリフォレンジックの極意
多くのセキュリティエンジニアが、EDRの管理画面に表示される「アラート」という名の砂上の楼閣に安住している間に、真の脅威アクターはカーネルの深淵で静かに息を潜めている。
現代の高度なルートキットは、ユーザーモードのフック程度では満足しない。彼らが目指すのは、OSの心臓部であるシステムコールテーブルや割り込み記述子テーブルの書き換えだ。これらはオペレーティングシステムの「正義」そのものを乗っ取る行為であり、一度掌握されれば、どれほど優れたアンチウイルスソフトも、彼らが差し出した偽の情報を真実として受け入れるしかなくなる。
今日は、メモリフォレンジックの観点から、SSDT（System Service Descriptor Table）およびIDT（Interrupt Descriptor Table）の改ざんを検知し、侵入者の足跡を物理メモリダンプから逆引きする手法について掘り下げる。
—
1. なぜ「カーネルモードフック」が脅威なのか
カーネルモードルートキットは、システムの制御フローを自身の悪意あるコードへリダイレクトさせる。例えば、NtQueryDirectoryFile をフックすれば、特定のファイルが存在していても、あたかも存在しないかのように偽装することが可能だ。
- SSDTフック: システムサービス（API）の呼び出し時に実行されるアドレスを、ルートキットが用意したアドレスに差し替える。
- IDTフック: ハードウェア割り込みや例外処理のハンドラを改ざんし、システムイベントを傍受・操作する。
これらは、カーネルメモリ空間の整合性を崩す攻撃であるため、ライブ環境でのパッチ適用やカーネルパッチ保護（KPP/PatchGuard）を回避するための極めて洗練されたロジックが組み込まれていることが多い。
—
2. メモリダンプからの検知：Volatility 3 を用いた解析の実践
現場で我々が使用するツールは、今や Volatility 3 が標準だ。しかし、ツールを叩けば答えが出るわけではない。重要なのは、「カーネルの正当なアドレス範囲」を熟知していることだ。
SSDTフックの特定手法
SSDTの各エントリが指し示すメモリアドレスは、原則として ntoskrnl.exe のベースアドレスからオフセットの範囲内に収まらなければならない。これを超えるアドレス、あるいは未署名のドライバ領域を指している場合、それは即座に「赤信号」である。
以下は、VolatilityのPythonスクリプトによる解析のロジックだ。
# 概念実証: SSDTのエントリがntoskrnlの範囲外を指していないか検証する擬似ロジック
import volatility.framework.symbols as symbols
def check_ssdt_integrity(kernel_base, ssdt_table):
# ntoskrnl.exeのメモリ空間境界を定義
kernel_end = kernel_base + 0x2000000 # 概算のサイズ
for index, address in enumerate(ssdt_table):
# アドレスがカーネル領域外にあるか、または不審な領域かチェック
if not (kernel_base <= address <= kernel_end):
print(f"[!] 警告: SSDTエントリ {index} が不正なアドレス {hex(address)} を指しています")
# ここで当該アドレスのメモリ領域をダンプし、ドライバを特定するIDTフックの特定手法
IDTの解析では、割り込みハンドラがどのドライバに所属しているかを modules コマンドと突き合わせる。本来、カーネルの割り込み処理は ntoskrnl.exe か、信頼されたハードウェアドライバが行うべきだ。
# Volatility 3 でIDTの状態を確認するコマンド
python3 vol.py -f memory.dmp windows.idt出力結果の中で、Owner が Unknown または不審なドライバ名になっているエントリがあれば、それがルートキットの足跡である可能性が極めて高い。
—
3. 防御のアーキテクチャ：ガードレイルとしてのKDPと署名検証
技術的防衛の観点からは、単なる検知ではなく「実行の阻止」が求められる。
1. HVCI (Hypervisor-Protected Code Integrity):
ハイパーバイザーを利用してカーネルメモリを保護する。これにより、たとえ管理者権限を奪われても、署名のないコードのカーネルメモリへの注入や、既存のカーネルコードの改ざんがハードウェアレベルで阻止される。
2. Kernel Data Protection (KDP):
特定のカーネルデータ構造を「読み取り専用」としてマークし、ハイパーバイザーによって保護する。これにより、SSDTやIDTそのものを書き換え不能な状態にする。
—
4. 結び：デジタルフォレンジックは「違和感」との戦い
カーネルフォレンジックにおいて最も重要なのは、ツールが吐き出す結果を鵜呑みにすることではなく、「なぜ、このコードがこのメモリ番地にあるのか？」という問いを持ち続けることだ。
攻撃者は、OSの仕様の裏を突き、パケットの構造を歪め、メモリの微細な整合性を破壊する。これに対抗するには、教科書的な知識だけでなく、CPUの命令セットやレジスタの挙動、メモリ管理ユニット（MMU）の仕組みまでを包括的に理解したアーキテクトの視点が不可欠となる。
インシデントは静かに始まる。その「静寂」の中に潜む微かなノイズを拾い上げることこそが、我々DFIRスペシャリストに課せられた責務である。次回の調査では、ぜひカーネルデバッガを片手に、OSが隠そうとする真実を暴き出してほしい。
コメント