メモリに潜む「残像」を暴く：レジストリ解析で永続化を封じ込めるDFIRの極意
現場でインシデント対応をしていると、攻撃者がいかに「痕跡を消す」ことに執着しているかを思い知らされる。ログを消し、ファイルを削除し、タイムスタンプを改ざんする。だが、どれほど巧妙に隠蔽しても、奴らがシステムを再起動後も支配し続けるために仕込む「永続化（Persistence）」の痕跡は、必ずメモリのどこかに残像として刻まれる。
今日は、メモリダンプからレジストリハイブを抽出し、攻撃者が密かに仕込んだ「再起動後のバックドア」を特定する、泥臭いフォレンジックの世界へ案内しよう。
—
1. なぜメモリフォレンジックなのか？
ディスク上のレジストリはオフラインで解析できるが、攻撃者はしばしば「ファイルレス」な手法や、実行中にのみメモリ上に展開される難読化されたハイブを悪用する。メモリダンプを取得すれば、現時点でアクティブなプロセスが参照しているレジストリの状態を、OSのAPIをごまかすことなく丸裸にできる。
特に Run キーや Services キーの改ざんは、攻撃者にとっての「生命線」だ。ここを突き止めない限り、PCを再起動するたびにバックドアが蘇るという悪夢から抜け出せない。
—
2. メモリからのハイブ抽出と解析の現場
Volatility 3 を使った解析が現在の主流だが、肝心なのはツールを回すことではなく、「どのキーが異常か」を見抜く眼力だ。
抽出の基本プロセス
まずは、メモリダンプからレジストリハイブを抽出する。
# Volatility 3を用いてレジストリハイブを抽出する例
python3 vol.py -f memory.dmp windows.registry.hivelist
# ここで出力された仮想アドレスを確認し、ダンプを行う
python3 vol.py -f memory.dmp windows.registry.hivescan --virtaddr 0x...抽出したハイブを Registry Explorer 等で開くと、攻撃者が好む以下のキーに辿り着く。
HKLM\Software\Microsoft\Windows\CurrentVersion\RunHKLM\System\CurrentControlSet\Services(サービス化による永続化)
—
3. 「永続化を許さない」ためのセキュアな設計
フォレンジックで攻撃手法を理解したら、次は「そもそも永続化させない」設計へのシフトだ。攻撃者がレジストリを触るということは、既に管理者権限を奪取されている可能性が高い。その前提で、どう防御を固めるか。
対策1：攻撃者にレジストリを書き込ませない
重要なレジストリキーへの書き込みを検知・ブロックする仕組みが不可欠だ。EDRの導入が大前提だが、サーバー環境であれば、最小権限の原則を徹底し、特定のディレクトリやキーへのアクセス権を厳格に制限する。
対策2：設定変更をコードで「強制」する（Pythonによる監視）
インフラの構成管理において、重要なキーが改ざんされていないか、定期的にチェックするスクリプトを走らせるのも有効な戦術だ。
import winreg
def check_persistence_key():
# 監視対象のRunキー
key_path = r"Software\Microsoft\Windows\CurrentVersion\Run"
try:
# HKLMから読み取り専用で開く
with winreg.OpenKey(winreg.HKEY_LOCAL_MACHINE, key_path, 0, winreg.KEY_READ) as key:
for i in range(winreg.QueryInfoKey(key)[1]):
name, value, _ = winreg.EnumValue(key, i)
# 不審な実行パスが含まれていないかチェック
if "temp" in value.lower() or "appdata" in value.lower():
print(f"[!] 警告: 不審な自動起動項目を検出: {name} -> {value}")
except Exception as e:
print(f"解析エラー: {e}")
if __name__ == "__main__":
check_persistence_key()—
4. Webアプリ側での防衛：入口を閉ざす
Webアプリの脆弱性（RCE等）から侵入されるケースが多い。レジストリ操作を許さないために、アプリケーションが動く権限を極限まで削ること。
Nginxでのリクエスト制限（概念設定）
不審な文字列（reg.exe や powershell 等）を含むリクエストをWAFで弾くのは基本中の基本だ。
# /etc/nginx/conf.d/security.conf
# 攻撃者がバックドアを仕込む際に使うコマンドパターンをブロック
location / {
if ($query_string ~* "(reg\.exe|powershell|cmd\.exe|net\.exe)") {
return 403;
}
}—
最後に：フォレンジックは「未来への投資」である
メモリダンプからレジストリを掘り起こす作業は、一見すると地味で骨が折れる。しかし、攻撃者の「思考回路」をトレースすることで、次の攻撃を未然に防ぐための強力な武器が手に入る。
「ログがないから分からない」で思考停止してはいけない。メモリという最後の砦には、攻撃者の足跡が必ず残されている。その残像を読み解くスキルこそが、君をただの運用担当者から、真の「セキュリティエンジニア」へと押し上げる。
現場で何か異変を感じたら、まずは Volatility を叩け。そして、そこから得た教訓を、システム設計のコードに落とし込むんだ。それが、我々DFIR屋の仕事だ。
コメント