マルウェアの特徴と解析

要点と定義

マルウェアは、利用者や組織に害を与える不正なプログラムの総称です。種類を見分けるときは、感染の広げ方と感染後の動作を分けて考えます。ワームは他のプログラムへの寄生を必須とせず、ネットワークやリムーバブルメディアなどを通じて自ら感染を広げます。ファイルを暗号化して金銭を要求する動作はランサムウェアの特徴で、ワーム固有の特徴とは限りません。例えば、暗号化を行うマルウェアがネットワーク経由で自己増殖する場合、両方の性質を持ち得ます。

ボットネットは、攻撃者に乗っ取られ遠隔操作される端末群です。C&Cサーバはボットへ指令を送り、応答を受け取って制御します。例えば、複数の感染端末に一斉に情報収集を指示する場合、指令の中継・制御を担うのがC&Cサーバです。

マルウェアの解析・検出では、対象を実行せずに特徴を調べる静的な方法と、実行して挙動を観察する動的な方法を区別します。サンドボックス内で検体を動かし、ファイル操作や外部通信を記録するのは動的解析です。既知の特徴との照合やファイルの属性確認など、実行を伴わない検査は静的な方法です。

サイバーキルチェーンは、攻撃者の視点から攻撃の進行を複数の段階に分けて捉えるモデルです。攻撃の全体像や途中の段階を整理するために使います。

適用条件と例

解析方法を選ぶときは、知りたい対象を確認します。ファイルの内容や既知の特徴を調べるなら静的解析が適し、実行時の挙動や通信を確かめるなら動的解析を使います。例えば、未知の添付ファイルを隔離した仮想環境で実行し、外部への接続を記録するのは動的解析です。隔離や監視が不十分な環境で実行すると影響が及ぶおそれがあるため、実行場所と観測方法を整える必要があります。

問題文に「自ら感染を広げる」とあればワームの性質、「暗号化して金銭を要求する」とあればランサムウェアの性質に注目します。二つは排他的な分類ではなく、一つのマルウェアが複数の特徴を持つことがあります。C&Cサーバの役割を問われた場合は、ボットへの指令と応答のやり取りに着目します。

サイバーキルチェーンでは、個々の技術名よりも、攻撃者の活動を段階に分けて捉える点が要点です。実際の攻撃が常に同じ順序や全段階をたどると決めつけず、分析のためのモデルとして使います。