【入門編】ファイルレスマルウェアのメモリ内実行検知(Reflective DLL Injection) – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！日々の開発やインフラの保守、本当にお疲れ様です。

システムを安全に守るお仕事をしていると、「アンチウイルスソフトが入っているから安心！」……と言いたいところですが、最近のサイバー攻撃は、私たちの想像の斜め上を行く巧妙な手口を使ってきます。その代表格が、今回お話しする「ファイルレスマルウェア」と、その裏で行われる「リフレクティブDLLインジェクション（Reflective DLL Injection）」という技術です。

名前を聞くだけで難しそうですよね。でも大丈夫です！
今回は、セキュリティに初めて触れる開発者やIT担当者の方に向けて、身近な例えを交えながら、攻撃の仕組みとメモリの奥深くを覗き見る検知のコツを優しく紐解いていきましょう。一歩ずつ、一緒に学んでいきましょうね！

—

1. 「ファイルレスマルウェア」ってなに？家の鍵にたとえてみよう

まずは、この攻撃がどうして厄介なのか、私たちの身近な「家と泥棒」にたとえて考えてみましょう。

通常の悪いプログラム（マルウェア）は、パソコンという家の中に侵入するとき、わざわざ裏口から「怪しいカバン（ウイルス対策ソフトにバレやすいファイル）」を抱えて入ってきます。だから、玄関のカメラ（アンチウイルスソフト）や、部屋の掃除（ファイルスキャン）をしていれば、「おや、変な荷物が置いてあるぞ！」とすぐに気づいて追い出すことができますよね。

しかし、ファイルレスマルウェアは違います。
彼らは家の中に侵入するとき、怪しいカバンを一切持ち込みません。 手ぶらでスッと入り込み、家の中にあるリビングのテーブル（パソコンの「メモリ」という作業スペース）の上に、直接メモを広げてその場で作業を始めてしまうのです。

ハードディスクやSSDといった「記録用の引き出し（ファイル）」には、悪者たちの証拠が一切残りません。そのため、従来のファイルスキャンでは「異常なし！」と見逃されてしまう……これが、ファイルレスマルウェアが「幽霊」や「忍者」にたとえられる所以です。

—

2. メモリの中の「隠れ家」：リフレクティブDLLインジェクションの仕組み

では、このファイルレスマルウェアは、メモリの中でいったい何をどうやっているのでしょうか？

Windowsのシステムには、たくさんの便利な道具箱（DLL：動的リンクライブラリ）があらかじめ用意されています。通常、プログラムが新しい道具箱を使うときは、「Windowsさん、この道具箱を貸してください」と正式にお願いして使います（これを「ロード」と呼びます）。

しかし、攻撃者はこの正式な手続きを嫌います。なぜなら、Windowsに「貸してください」とお願いすると、誰が何を借りたのかがログとして記録されてしまうからです。

そこで彼らが使うのが、リフレクティブDLLインジェクションという技です。
これは、ざっくり言うと「自分で自分をこっそり組み立てて、誰にもバレずにメモリの上で動いちゃうマジック」です。

1. 怪しいコードの持ち込み: まず、ネットワーク経由などで正当なプログラムの隙をついて、メモリの一部に悪意あるコードの断片をこっそり流し込みます。
2. 自己展開（リフレクション）: 通常ならWindowsにお願いするはずの「道具箱のセットアップ作業」を、そのコード自身が自前で行います。他人のふねに乗るように、メモリ上のまっさらな空間に自分自身を器用に組み上げていくのです。
3. 実行: そして、ディスクにファイルを一切書き込むことなく、メモリ上で直接プログラムが動き出します。

警察（セキュリティ担当者）が家宅捜索（ディスクスキャン）をしても、証拠のファイルはどこにも落ちていません。これが現場のエンジニアを震え上がらせる理由なんです。

—

3. 泥棒の足あとを見つける：VADツリーの異常検知

「じゃあ、ディスクに証拠が残らないなら、完全にお手上げじゃないか……」と思いますよね。
いいえ、そんなことはありません！どんなに上手に隠れても、「どこで作業していたのか」という足あとは必ず残ります。それが今回のテーマである「VAD（Virtual Address Descriptor）ツリー」です。

VADツリーとは？

パソコンのメモリは、いわば巨大なマンションのようなものです。Windowsという管理人は、どの部屋（メモリ領域）を誰に貸し出しているのかを、大きな台帳で管理しています。この台帳の名前が「VADツリー」です。

正常なプログラムであれば、VADツリーの台帳には次のように綺麗に記録されます。

「この部屋は、Cドライブにあるメモ帳（notepad.exe）というファイルから借りています」
「この部屋は、正当なMicrosoftのシステムファイルから借りています」

攻撃者の不自然な「足あと」

しかし、リフレクティブDLLインジェクションを行ったマルウェアは、ディスク上のファイルから借りていないため、台帳に「あれ？どこのファイルからも借りていないのに、中身がギッシリ詰まっている変な部屋があるぞ……？」という矛盾が生じます。

怪しいポイント1: ディスク上のファイルと紐づいていない（Mapped to no file）のに、実行権限（プログラムとして動く権限）がついている。
怪しいポイント2: 本来あり得ないようなメモリの場所にコードが展開されている。

こうした「台帳の記載ミス」や「不自然な空き部屋の使われ方」を見つけ出すことが、メモリフォレンジックにおける最大の武器になります。

—

4. 実務で使える！PythonとVolatility 3を使ったメモリ解析の第一歩

「理屈はわかったけれど、実際にどうやって調べるの？」という方のために、インシデントレスポンスの現場でよく使われるメモリフォレンジックフレームワーク「Volatility 3」を例に、VADツリーの異常をあぶり出すアプローチを覗いてみましょう。

もし現場で不審なプロセス（例えば、本来そんなことしないはずの cmd.exe や powershell.exe など）を見つけたら、そのプロセスのメモリ空間を調査します。

以下は、Volatility 3を使ってプロセスのVAD情報を確認する際の発想を、スクリプト的な疑似コードとして表現したものです（実際のツール実行時のイメージを掴んでみてください）。

# 【実務参考】Volatility 3を用いたVADツリー解析の概念スクリプト
# ※実際のコマンドラインツール（vol.py）の裏側で行われているチェック処理のイメージです。

class MemoryForensicsAnalyzer:
    def __init__(self, process_name, vad_tree):
        self.process_name = process_name
        self.vad_tree = vad_tree  # プロセスのメモリ割り当て台帳

    def inspect_suspicious_vads(self):
        print(f"[*] 対象プロセス: {self.process_name} のVADツリーをスキャン中...")
        
        anomalies_found = False

        for vad_entry in self.vad_tree:
            # チェック項目1: ディスク上のファイルと紐づいていないか？
            has_file_mapping = vad_entry.get("file_path") is not None
            
            # チェック項目2: 実行権限（Execute）が付与されているか？
            is_executable = "X" in vad_entry.get("protection_flags", "")

            # 【ここが不審なポイント！】
            # ディスクのファイルと紐づいていないのに、プログラムとして実行できる状態になっている場合
            if not has_file_mapping and is_executable:
                anomalies_found = True
                print(f"[!] 【警告】ファイルレスインジェクションの可能性を検知！")
                print(f"    - 開始アドレス: {vad_entry.get('start_address')}")
                print(f"    - 終了アドレス: {vad_entry.get('end_address')}")
                print(f"    - 権限: {vad_entry.get('protection_flags')}")
                print(f"    - 理由: ディスク上の実体がないにもかかわらず実行権限が付与されています。\n")

        if not anomalies_found:
            [+] 異常なメモリ領域は検出されませんでした。

# 使用例（イメージ）
# 調査対象のプロセス（例: 怪しい挙動をしているpowershell.exe）のVAD情報を読み込ませる
# analyzer = MemoryForensicsAnalyzer("powershell.exe", downloaded_vad_dump)
# analyzer.inspect_suspicious_vads()

このように、「ファイルの裏付けがないのに、実行できるメモリ領域」を機械的にあぶり出していくことで、ファイルレスマルウェアの尻尾を掴むことができるのです。現場では、こうした怪しいメモリ領域の中身をダンプ（抽出）して、さらに解析を進めていきます。

—

5. まとめ：一歩ずつ、確実なセキュリティ対策を

今回は、ファイルレスマルウェアと、その裏で行われるリフレクティブDLLインジェクション、そしてVADツリーを使った検知の仕組みについてお話ししました。

ファイルレスマルウェア: ディスクに証拠を残さず、メモリ上で直接動く厄介な存在。
リフレクティブDLLインジェクション: 正式な手続きを踏まず、自分で自分をメモリ上に組み立てて隠れる技術。
VADツリーの異常検知: 「ファイルの裏付けがないのに実行できるメモリ領域」を探すことで、隠れた足あとを見つけ出す。

一見すると難解なサイバー攻撃も、「家の鍵」や「マンションの台帳」にたとえてみると、セキュリティの仕組みが少し身近に感じられたのではないでしょうか？

インシデントレスポンスの世界は奥が深いですが、基本の仕組みを一つずつ理解していけば、必ず脅威に対抗できるようになります。日々の開発やインフラ運用の片隅で、今回の知識が少しでも皆さんの心強い盾となれば嬉しいです。

それでは、また次回のセキュリティ解説でお会いしましょう！安全なシステム運用を！