【入門編】メモリ上のWMI永続化メカニズムの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！セキュリティの世界へようこそ。インシデントレスポンスの現場を渡り歩いてきた私と一緒に、今回は少しディープ、だけどめちゃくちゃ面白い「メモリフォレンジック」の世界を覗いてみましょう。

「メモリフォレンジック」って聞いただけで、「うわ、難しそう……」って逃げ出したくなりますよね。大丈夫です！今回は、新人IT担当者や開発者のみなさんが「なるほど、そういうことか！」とスッキリ腑に落ちるように、身近な例えを交えながら優しく紐解いていきますよ。一歩ずつ、一緒に学んでいきましょうね！

—

1. 家の鍵に例える「WMI永続化」の仕組み

まずは、今回の主役である「WMI（Windows Management Instrumentation）」と、悪者たちが使う「永続化（Persistence）」について、私たちの日常生活に置き換えて考えてみましょう。

みなさん、自分の家には鍵をかけますよね。お出かけするときは玄関の鍵を閉め、寝るときも施錠を確認するはずです。
しかし、もし泥棒が家に侵入し、鍵を閉め忘れた隙に「合鍵」をこっそり置いていったらどうでしょう？あなたがどれだけ毎朝しっかり玄関の鍵を閉めて出かけても、泥棒はいつでもその合鍵を使って自由に出入りできてしまいますよね。

これが、セキュリティの世界でいう「永続化」です。
攻撃者は一度パソコンの中に侵入すると、たとえあなたがパスワードを変えたり、怪しいウイルス対策ソフトでスキャンしたりしても、こっそり裏口から戻ってこられるように「秘密の合鍵」を隠していきます。

そして、Windowsの奥深くにあるWMIという仕組みは、いわば「家の中のあらゆる家電や警備システムを自動制御するスマートホームのハブ」のようなものです。
「朝7時になったらカーテンを開ける」「誰かが玄関を通ったらライトをつける」といった具合に、Windowsの中で何かが起きたときに、別の何かを自動で動かす便利な機能を持っています。

攻撃者たちは、このWMIの自動化機能に目をつけました。
「パソコンが起動した瞬間」や「ユーザーがログインした瞬間」というイベントが起きたら、自動的に自分たちの悪いプログラムを動かすように、WMIへこっそり「予約注文（サブスクリプション）」を入れておくのです。これが、WMIイベントサブスクリプションを悪用した永続化メカニズムの正体です。

—

2. なぜ「メモリ」を見る必要があるのか？

「ウイルス対策ソフトが入っているなら、ハードディスク（Cドライブなど）を探せば見つかるんじゃないの？」と思いますよね。

実は、最近の巧妙な攻撃者は、ハードディスクの目につく場所にファイルを置きません。ファイルレス攻撃と呼ばれる手法を使い、パソコンの短期記憶である「メモリ（RAM）」の上だけでこっそりプログラムを動かしたり、WMIの設定を書き換えたりします。

ハードディスクという「タンスの引き出し」を探しても何も見つからない。なぜなら、彼らはメモリという「机の上のメモ用紙」にだけ情報を置いて、電源を切ったら消えるように証拠隠滅を図るからです。

だからこそ私たちフォレンジック調査員は、電源が入ったままの現場（メモリ）をそのままパシャリと写真に撮るように保存し、その中をくまなく捜索する「メモリフォレンジック」を行う必要があるわけですね。

—

3. メモリ上に潜むWMIの痕跡を見つけ出す

では、実際にメモリの中から怪しいWMIの影を見つけ出す手順を見ていきましょう。
現場では、オープンソースの優れたメモリ解析ツールであるVolatility（ボラティリティ）などのツールを使って、メモリという広大な海から手がかりを釣り上げます。

WMIが裏で動くとき、Windowsの中ではいくつかの決まったプロセスが連動して動きます。その代表が WmiPrvSE.exe というプロセスです。

調査の第一歩：プロセスの親子関係を見る

普段、WmiPrvSE.exe は svchost.exe という正当なシステムプロセスから生えてきます。しかし、もしこれが妙なプロセスから呼び出されていたり、身に覚えのないコマンドを裏で実行していたりしたら……それはもう赤信号です。

例えば、Volatilityを使ってメモリ上のプロセス一覧を確認するコマンドは以下のようになります。

# メモリダンプから実行中のプロセス一覧をツリー構造で表示するコマンド例
vol.py -f memory_dump.raw --profile=Win10x64_19041 pslist --dump

このとき、私たちがチェックするのは以下のようなポイントです。

WmiPrvSE.exe が不自然な親プロセスを持っていないか？
そのプロセスから、PowerShellや cmd.exe などのシェルが突然起動されていないか？

—

4. WMIイベントの「3つのパーツ」を暴く

WMIの永続化を裏で支えているのは、実はパズルのピースのように組み合わされた3つのオブジェクト（部品）です。メモリフォレンジックでは、これらがメモリのどこに存在しているかを探し出します。

1. __EventFilter（イベントフィルター）: 「いつ動くか」の条件（例：システムが起動してから5分後、など）
2. __EventConsumer（イベントコンシューマー）: 「何を動かすか」の実行内容（例：裏でこっそりスクリプトを実行する、など）
3. __FilterToConsumerBinding（バインディング）: 上記のフィルターとコンシューマーを「結びつける紐」

攻撃者は、この3つのパーツをWMIのリポジトリ（データベースのようなもの）やメモリ上にこっそり登録します。
実務の現場では、これらのオブジェクトがメモリのどこにキャッシュされているかをスキャンし、不審な名前のフィルターや、怪しいスクリプト（PowerShellの難読化されたコードなど）がコンシューマーに仕込まれていないかを解析します。

—

5. 実務で役立つ！確認のための PowerShell スクリプト例

メモリ解析を行う前に、あるいは日常のセキュリティ点検として、生きたWindows環境のWMIサブスクリプションを自分の目で確認するための安全なスクリプトをご紹介します。
もし皆さんの開発環境やインフラで「あれ、なんか怪しいな？」と思ったときは、管理者権限で以下のコードを試してみてください。

# -----------------------------------------------------------------
# スクリプト名: Check-WmiPersistence.ps1
# 概要: 登録されているWMIイベントサブスクリプションの一覧を表示し、
#       不正な永続化が仕掛けられていないかを点検するためのスクリプトです。
# -----------------------------------------------------------------

# エラーハンドリングを有効化
$ErrorActionPreference = "Stop"

Write-Host "[-] WMIイベントフィルター（いつ動くかの条件）を確認しています..." -ForegroundColor Cyan
Get-CimInstance -Namespace root\subscription -ClassName __EventFilter | Select-Object Name, Query, EventNamespace

Write-Host "[-] WMIイベントコンシューマー（何を実行するか）を確認しています..." -ForegroundColor Cyan
Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer | Select-Object Name, 
    @{Name="Command"; Expression={if($_.CommandLineTemplate){$_.CommandLineTemplate}else{$_.ScriptText}}}

Write-Host "[-] フィルターとコンシューマーの結びつき（バインディング）を確認しています..." -ForegroundColor Cyan
Get-CimInstance -Namespace root\subscription -ClassName __FilterToConsumerBinding | Select-Object __PATH, Filter, Consumer

Write-Host "[+] 点検が完了しました。見覚えのない名前や難読化されたスクリプトがないか確認してください。" -ForegroundColor Green

このスクリプトを実行したとき、もし自分が導入した覚えのない奇妙な名前のフィルター（例: BadsCategory やランダムな文字列など）や、見慣れないPowerShellのコマンドラインが仕込まれていた場合は要注意です。それはまさに、泥棒が残した「合鍵」かもしれません。

—

まとめ：一歩ずつ、確実なセキュリティの目を養おう

今回は、少しマニアックな「メモリ上のWMI永続化メカニズム」について、家の鍵や泥棒の例えを交えながら解説しました。

最初は難しい用語の羅列に見えたかもしれませんが、

永続化 ＝泥棒が残す「合鍵」
WMI ＝家の便利な「自動化スマート家電ハブ」
メモリフォレンジック ＝犯人が机の上（メモリ）に残したメモを探す捜査

こうして紐解いていくと、セキュリティの仕組みがぐっと身近に感じられるのではないでしょうか？

インシデントレスポンスやフォレンジックの世界は、パズルを解くようなワクワク感と、システムを守る責任感が同居する非常にやりがいのある分野です。焦る必要はありません。日々の業務や学習の中で、こうした知識を一つずつ自分のものにしていけば、必ず頼れるセキュリティ人材・開発者になれますよ。

それでは、また次回のセキュリティ解説でお会いしましょう！安全なデジタルライフを！