マルウェアの検出と検知回避

マルウェアの検出とは、端末やネットワーク上でマルウェアの存在を特定する技術と運用の総称である。検知回避とは、攻撃者がマルウェアの見た目や振る舞いを変えて、検出の仕組みをすり抜けようとする手法を指す。両者は攻防の関係にあり、検出側は単一の手法に頼らず複数の手法を組み合わせて対応する必要がある。

検出の原理と手法

検出手法は、既知のコードパターンと照合する方式と、動作を監視する方式に大別される。パターンマッチング法は、ウイルス定義ファイルなどに登録された特徴的なコードのパターンと検査対象を照合して検出する方式である。登録されていない新種は照合の対象にならないため、パターンの更新が遅れると検出が難しくなるという弱点がある。

これに対してビヘイビア法は、ファイルの読込みや書込み、通信など、マルウェアに特徴的な動作を監視して検出する方式である。 既知のパターンに依存しないので、登録前の未知のマルウェアにも対応しやすいという利点がある。この考え方はウイルスの検出でも同じで、感染や発病によって生じるデータの読込みや書込み、通信を監視して感染を判定する。 ビヘイビア法で検出するには、どの動作を不審とみなすかという判断の基準を事前に定めておく必要がある。

一方、安全な原本のハッシュ値と検査対象を比較する方法は、対象の完全性を確かめて改変の有無を調べる手法である。 動作を観察するのではなく内容が変わっていないかを確認する点で、ビヘイビア法とは目的が異なる。

検知回避の仕組み

検知回避の代表例がポリモーフィック型マルウェアである。感染のたびに自身のコードを暗号化する鍵などを変え、コードの見た目を変化させる。 その結果、過去に発見されたマルウェアのパターンでは検知されにくくなる。 パターンマッチング法は既知のパターンに頼る方式であるため、この手法は構造的な弱点を突いているといえる。