【入門編】メモリフォレンジックにおけるスレッド実行コンテキストの解析と不正コードの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！セキュリティやインフラの現場に飛び込んだばかりの頃って、次から次へと専門用語が出てきて頭がパンクしそうになりますよね。「メモリフォレンジック」なんて言われると、なんだかSF映画のハッカーみたいで自分には関係ない……なんて思っていませんか？

でも、安心してください。今日お話しする「スレッドの実行コンテキストの解析」は、実は私たちの身の回りにある「防犯の仕組み」と全く同じ考え方なんです。一歩ずつ、優しく紐解いていきましょう！

—

1. 家の鍵と泥棒に例える「メモリフォレンジック」の世界

皆さんの家には玄関のドアがあり、ちゃんとした鍵（正規のモジュール）がついていますよね。家族や信頼できる人は、そのドアから「正しい手順」で家に入ってきます。

では、泥棒はどうでしょう？彼らは正面玄関ではなく、誰もいない夜中にこっそり窓ガラスを割るか、あるいは「合鍵」を使って、普段は誰も出入りしない勝手口や通気口から忍び込もうとします。

コンピュータの世界でも同じことが起きています。
OS（WindowsやLinuxなど）には、アプリケーションが動くための「正規の通り道（メモリ領域）」がきちんと決まっています。しかし、サイバー攻撃者はセキュリティの目をかいくぐるため、その正規の通り道を使わず、「本来そんなところから人間が入ってくるはずのない場所」からプログラムを動かそうとするのです。

ここで登場するのが、今回のテーマである「スレッドの実行コンテキスト（実行の流れ）の解析」です。
「今、家の中で動いているその人は、本当に正面玄関から入ってきた人なの？それとも変な場所から忍び込んだ泥棒なの？」という足跡を、メモリという足跡から見つけ出す作業になります。

—

2. スレッドと「実行開始アドレス」の秘密

コンピュータの中では、たくさんのプログラムが同時に動いていますよね。この「動く単位」のことをスレッドと呼びます。例えるなら、家の中を動き回る「家族の一人ひとり」のようなものです。

すべてのスレッドには、生まれたとき（動き始めたとき）に「どこからやってきたか」という出発点（実行開始アドレス：Start Address）が必ず記録されています。

正規のプログラム（例えば、私たちが普段使うブラウザやオフィスソフトなど）であれば、その出発点は必ず「有名な安全なビル（Cドライブの正規のプログラムフォルダなど）」の中にあるはずです。

しかし、攻撃者が仕込んだ悪いコード（マルウェア）は違います。
彼らはセキュリティソフトに見つからないように、何もないただの空き地（確保しただけのメモリ領域や、正体のわからない場所）から突然スレッドをスタートさせたりします。

これが、現場のセキュリティアナリストが「おや？」と気づく最初の瞬間です。
「あれ？このスレッドの出発点、どこにも所属していない変な場所を指しているぞ……？」

—

3. 実践！ PythonとVolatilityでスレッドの足跡を追ってみよう

「なるほど、怪しい出発点を見つければいいんだな。でも、どうやって調べるの？」と思いますよね。
実際のインシデントレスポンスの現場では、メモリの健康状態をまるごと保存したファイル（メモリダンプ）を解析ツールで調べます。

ここでは、メモリフォレンジックのデファクトスタンダードであるツール「Volatility（ボラティリティ）」を操作するイメージで、Python風の擬似コードを使って、怪しいスレッドを見つける仕組みを覗いてみましょう。

# 擬似コード：メモリ上のスレッドをスキャンして怪しい出発点をあぶり出すスクリプト
# ※新人エンジニアの皆さんが仕組みを理解しやすいよう、日本語コメントを丁寧に添えています。

class MemoryAnalyzer:
    def __init__(self, memory_dump_file):
        self.dump_file = memory_dump_file

    def scan_threads(self):
        print("[*] メモリダンプからスレッド情報のスキャンを開始します...")
        
        # 仮想的なスレッドリスト（実際にはOSのカーネル構造体から取得します）
        threads = [
            {"tid": 101, "process": "explorer.exe", "start_address": "0x7FF6A1230000", "module": "explorer.exe"},
            {"tid": 102, "process": "notepad.exe",  "start_address": "0x7FFB45600000", "module": "notepad.exe"},
            # ↓おや？ こいつの出発点はモジュール（建物）名がありません……！
            {"tid": 666, "process": "svchost.exe",  "start_address": "0x000002A1F8800000", "module": None},
        ]

怪しいスレッドの特定
        for thread in threads:
            self.investigate_thread(thread)

    def investigate_thread(self, thread):
        # 判定ロジック：出発点（start_address）がどのモジュールにも属していない場合
        if thread["module"] is None:
            print(f"[!] 警告！怪しいスレッドを検知しました！")
            print(f"    - プロセス名: {thread['process']}")
            print(f"    - スレッドID: {thread['tid']}")
            print(f"    - 異常な開始アドレス: {thread['start_address']}")
            print(f"    ==> 【判定】正規のモジュール外からの実行です。インジェクション攻撃の可能性があります！\n")
        else:
            print(f"[+] 正常: スレッドID {thread['tid']} は安全なモジュール ({thread['module']}) から開始されています。")

# 実行シミュレーション
if __name__ == "__main__":
    analyzer = MemoryAnalyzer("suspect_memory.dmp")
    analyzer.scan_threads()

このコードのように、スレッドの start_address（開始アドレス）が、どの正規のプログラム（モジュール）の範囲内に収まっているかをチェックするだけで、不正なコードパス（隠し通路）をいとも簡単に発見できるのです。

—

4. スタックトレースが教えてくれる「嘘をつけない足跡」

出発点をごまかしたとしても、プログラムが実際に動くときには「今、どこを通ってきたか」という足跡がスタック（Stack）という一時的な記憶領域に必ず積み上げられていきます。これをスタックトレースと呼びます。

例えば、料理に例えるなら、
1. 冷蔵庫から食材を取り出す
2. まな板で切る
3. 鍋で煮込む

という手順（コールスタック）があるはずです。
もし、いきなり「3. 鍋で煮込む」のところからスレッドが動き出していたら、「あれ、食材はどこから出てきたの？」と不自然ですよね。

メモリフォレンジックでは、このスタックトレースを遡ることで、攻撃者が「どの正規の関数を悪用して、どうやって隠れてコードを実行しようとしたのか」という手口の全貌を明らかにしていきます。

—

5. まとめ：一歩ずつ、安全なシステムを作っていこう

今回は、メモリフォレンジックにおける「スレッドの実行コンテキストの解析」について、家の鍵や泥棒の例えを交えてお話ししました。

スレッドの出発点（開始アドレス）を確認し、正規の場所から動いているかチェックする。
どこにも所属していない怪しい場所から動いているスレッドは、不正なコード（インジェクション攻撃など）のサインである。
データの足跡（スタックトレース）を追うことで、攻撃の手口が見えてくる。

難しそうに見えるセキュリティの技術も、基本の仕組みは「変なところから人が入ってきていないか見張る」という身近な防犯と同じです。
日々の開発やインフラ運用のなかでも、「このプログラムは本当に正しい経路を通っているかな？」という視点を持つだけで、セキュリティに対する感度はぐっと上がります。

一歩ずつ、確実に知識を身につけて、頼れるエンジニアを目指していきましょう！